Le journal DFS
Python
-
Ludwig : extraction d’archives tar hors du répertoire prévu
P3 · Élevée · CVE-2026-104103 — Avant la version 0.17.8, Ludwig pouvait extraire une archive tar contenant des liens symboliques ou physiques qui échappaient au répertoire…
-
thumbnail : injection de commandes lors de la génération de vignettes
P3 · Critique · CVE-2026-110650 — Le paquet Python `thumbnail` présente une injection de commandes dans `generate_thumbnail()` lorsque le chemin d’un fichier contrôlé par un attaquant…
-
pypdftk : injection de commandes via les chemins de fichiers
P3 · Critique · CVE-2026-110636 — pypdftk permet une injection de commandes système lorsque les chemins fournis à certaines fonctions sont incorporés dans des commandes shell.…
-
OAuthLib : fuite temporelle dans la vérification PKCE
P4 · Moyenne · CVE-2026-49265 — Dans OAuthLib, les comparaisons des valeurs code_verifier et des challenges PKCE utilisent une égalité de chaînes ordinaire, susceptible de révéler…
-
Évasion du bac à sable et accès mémoire arbitraire dans asteval
P4 · Moyenne · CVE-2026-102734 — Dans asteval, l’interpréteur par défaut avec NumPy activé expose un type ctypes accessible permettant des accès mémoire via from_address, tandis…
-
OAuthLib : injection JavaScript via le callback JSONP du point de révocation
P4 · Moyenne · CVE-2026-49264 — Dans OAuthLib, un paramètre callback non validé peut être réfléchi dans les réponses JSONP du point de révocation et permettre…
-
CVE-2025-71339 — Picklescan : gadget pickle non détecté pouvant conduire à une exécution de code
P3 · Élevée · CVE-2025-71339 — Picklescan, avant la version 0.0.33, ne détecte pas un gadget lié à `numpy.f2py.crackfortran._eval_length` dans certaines méthodes `__reduce__` de pickle. Un…
-
Injection dans une classe d’énumération générée
P3 · Élevée · CVE-2026-108385 — Dans dataclasses-avroschema, les symboles d’énumération issus du schéma pouvaient être utilisés comme noms de membres générés sans validation d’identifiant, permettant…
-
Exécution de code par une valeur aliases malformée dans un schéma Avro
P3 · Élevée · CVE-2026-108384 — Dans dataclasses-avroschema, une valeur aliases de type chaîne fournie dans un schéma pouvait être interpolée comme expression Python non citée…
-
Injection dans le code généré à partir d’une valeur par défaut d’énumération
P3 · Élevée · CVE-2026-108383 — Dans dataclasses-avroschema, une valeur par défaut d’énumération contrôlée par le schéma pouvait être insérée dans le code généré sans validation…