Le journal DFS
Python
-
PyMongo : lecture hors limites et arrêt du processus lors du décodage BSON d’un Regex malformé
P3 · Élevée · CVE-2026-106435 — Le décodeur BSON de l’extension C de PyMongo peut lire hors limites lors du décodage d’un élément Regex malformé depuis…
-
PraisonAI : injection dans le DDL des backends de stockage vectoriel
P4 · Moyenne · CVE-2026-60090 — Les backends de base vectorielle PGVector et Cassandra inséraient la valeur dimension fournie par l’appelant directement dans le DDL, sans…
-
PraisonAI : exécution de scripts hors du répertoire de travail par SkillTools
P3 · Élevée · CVE-2026-61443 — SkillTools pouvait exécuter un script désigné par un chemin absolu ou extérieur au répertoire de travail sans vérifier le confinement…
-
PraisonAI : exécution de code via le chargement dynamique de tools.py
P3 · Élevée · CVE-2026-61437 — Lors de l’exécution d’un workflow, la résolution d’une sortie structurée pouvait importer et exécuter un fichier tools.py voisin sans bac…
-
datamodel-code-generator — écriture de fichiers hors du répertoire temporaire via Protobuf
P3 · Élevée · CVE-2026-107377 — Lors du traitement d’un schéma Protobuf contrôlé par un attaquant, `datamodel-code-generator` peut écrire des fichiers hors du répertoire temporaire prévu…
-
Pydantic AI — requêtes navigateur non validées vers le chat local
P3 · Élevée · CVE-2026-107295 — Le serveur de chat local de développement de Pydantic AI ne valide pas le type de contenu des requêtes, ce…
-
CVE-2026-107286 — Pydantic AI : places de concurrence retenues après des flux interrompus
P3 · Élevée · CVE-2026-107286 — Dans Pydantic AI, certains flux de requêtes limités par `ConcurrencyLimitedModel` ou `limit_model_concurrency` peuvent conserver des places de capacité après une…
-
PraisonAI : exécution de fichiers Python non vérifiés lors de la découverte de plugins
P3 · Élevée · CVE-2026-61446 — PraisonAI a publié un avis indiquant que son gestionnaire de plugins découvre et exécute des fichiers Python sans vérification d’intégrité…
-
PraisonAI : contournement SSRF de `web_crawl` par rebinding DNS
P3 · Élevée · CVE-2026-61430 — PraisonAI a publié un avis sur un contournement par rebinding DNS des protections SSRF de l’outil `web_crawl`, permettant de récupérer…
-
PraisonAI : exécution de code généré sans sandbox effective dans CodeAgent
P3 · Critique · CVE-2026-61447 — PraisonAI a publié un avis sur l’exécution de code Python généré par le modèle sans sandbox effective dans `CodeAgent`, avec…