Le journal DFS
Python
-
fpdf2 : épuisement de ressources par expansion exponentielle de références SVG
P4 · Moyenne · CVE-2026-114610 — La résolution de références SVG imbriquées par fpdf2 peut dupliquer de façon exponentielle les objets graphiques et épuiser le processeur…
-
fpdf2 : chargement de ressources externes et de chemins locaux depuis un contenu contrôlé
P4 · Moyenne · CVE-2026-114609 — Lors du rendu de contenu non fiable, fpdf2 peut charger automatiquement des URL externes ou tenter d’ouvrir des chemins locaux…
-
Pylint — exécution de code via un cache de statistiques pickle modifiable
P4 · Moyenne · CVE-2026-114608 — Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire…
-
OpenTelemetry Python — déni de service par analyse coûteuse de tracestate
P4 · Moyenne · CVE-2026-114603 — OpenTelemetry Python peut subir une forte consommation CPU lors de l’analyse d’un en-tête tracestate W3C malformé contenant une longue séquence…
-
PyJWT — acceptation d’une clé HMAC vide provenant d’un JWK
P3 · Élevée — PyJWT peut accepter la vérification d’un jeton HMAC signé avec une clé vide lorsque la clé est fournie par un JWK oct…
-
netlicensing-mcp — contournement d’authentification en mode HTTP
P3 · Élevée · CVE-2026-54446 — En mode HTTP, netlicensing-mcp laisse passer les requêtes sans clé client et peut alors utiliser la clé NetLicensing configurée côté…
-
msgpack-python : fuite mémoire et défaut de références sur des décodages rejetés
P3 · Élevée · CVE-2026-114613 — Le module C de msgpack-python peut conserver en mémoire une valeur décodée lorsqu’il rejette une clé de map invalide avec…
-
dnspython — consommation excessive de CPU par pointeurs DNS de compression
P3 · Élevée · CVE-2026-114605 — dnspython peut effectuer un nombre excessif de parcours de pointeurs de compression contrôlés par l’émetteur lors du décodage d’un nom…
-
Flexible GraphRAG — injection Cypher via le backend FalkorDB
P3 · Élevée · CVE-2026-114510 — Flexible GraphRAG permet une injection Cypher lorsque des contenus influencés par un attaquant sont ingérés avec le backend FalkorDB concerné.…
-
Strands Agents SDK : exposition de conversations entre sessions A2A
P3 · Élevée · CVE-2026-115419 — Le serveur A2A de Strands Agents SDK peut partager l’historique de conversation entre des appelants ayant des context_id différents, permettant…