Le journal DFS
Python
-
PraisonAI Platform : suppression non autorisée de dépendances entre problèmes
P4 · Moyenne · CVE-2026-62179 — Dans PraisonAI Platform, un membre peut supprimer une dépendance entre problèmes en ciblant dans l’URL le problème dont il est…
-
wger : corruption des journaux d’entraînement d’un autre utilisateur
P4 · Moyenne · CVE-2026-46438 — Un utilisateur authentifié peut créer des entrées de journal d’entraînement liées à la séance d’un autre utilisateur, car la propriété…
-
wger : les jetons API ne sont pas révoqués après déconnexion ou changement de mot de passe
P4 · Moyenne · CVE-2026-46437 — Dans wger, les identifiants API de type DRF et les jetons JWT de renouvellement restent utilisables après déconnexion ou changement…
-
wger : changement de session forcé par requête GET sans protection CSRF
P4 · Moyenne · CVE-2026-45161 — La vue `trainer_login` de wger accepte une requête GET pour basculer la session vers un autre compte sans protection CSRF…
-
Cisco NX-OS : évasion du bac à sable Python (CVE-2026-20032)
P4 · Moyenne · CVE-2026-20032 — Une validation insuffisante d’entrées dans l’interpréteur Python de Cisco NX-OS permet à un utilisateur local authentifié disposant de faibles privilèges…
-
Hydra : contournement de la liste de blocage de `instantiate()` permettant l’exécution de code
P3 · Élevée · CVE-2026-106442 — La liste de blocage des cibles de Hydra pouvait être contournée par des wrappers, des alias, des mécanismes de désérialisation…
-
Langflow : contournement de la restriction locale de l’installation MCP par usurpation d’IP
P3 · Élevée · CVE-2026-105741 — Une vérification de l’adresse IP faisait confiance au premier élément, contrôlable par le client, de l’en-tête `X-Forwarded-For`. Un utilisateur authentifié…
-
PraisonAI : événements AgentMail forgés transmis à l’agent
P3 · Élevée · CVE-2026-61436 — Le mode webhook AgentMail de PraisonAI traite des événements `message.received` fournis par l’appelant sans vérifier les signatures Svix, puis les…
-
PraisonAI : injection de messages AgentMail par webhook sans vérification
P3 · Élevée · CVE-2026-61428 — En mode webhook ou hybride, le bot AgentMail de PraisonAI accepte des événements `message.received` sans authentification ni vérification de signature…
-
CVE-2026-106558 — Backstage TechDocs : contournement de sanitisation et exécution de code Python
P3 · Élevée · CVE-2026-106558 — Dans le générateur TechDocs de Backstage, la validation incorrecte d’une configuration `markdown_extensions` au format mapping peut permettre à un utilisateur…