Le journal DFS
Python
-
GHSA-v853-p72q-4cfw — Quart 0.23.0 divulgue les corps de requête dans stdout
P3 · Élevée — Quart 0.23.0 affiche sur stdout le corps brut de toute requête dont le corps est lu, ce qui peut exposer dans les…
-
Langflow : exécution de code via Smart Transform
P3 · Élevée · CVE-2026-7700 — Langflow 1.3.0 à 1.10.2 permet à un auteur de flux de provoquer l’exécution de code dans le processus via Smart…
-
Hydra : résolution non sûre de fabriques Python dans la configuration de journalisation
P3 · Élevée · CVE-2026-106441 — Hydra transmettait sa configuration de journalisation à `logging.config.dictConfig()`, qui peut résoudre et invoquer des classes ou fabriques Python définies dans…
-
Hydra Optuna Sweeper : exécution de fonctions choisies par une configuration non fiable
P3 · Élevée · CVE-2026-106440 — `hydra-optuna-sweeper` résolvait un chemin de méthode fourni par la configuration avec `get_method()`, puis appelait la fonction obtenue sans appliquer la…
-
Hydra : modification de la politique mutable d’instanciation pour contourner le blocage de cibles
P3 · Élevée · CVE-2026-106439 — Les politiques d’exécution de Hydra reposaient sur des collections mutables au niveau du module, qu’une configuration pouvait modifier avant de…
-
openapi-python-client — injection de code dans le client Python généré (CVE-2026-105801)
P3 · Élevée · CVE-2026-105801 — openapi-python-client ne neutralisait pas correctement certains contenus malveillants d’un document OpenAPI avant de générer du code Python. Le client généré…
-
Scrapy — une valeur Referrer-Policy malveillante peut arrêter un crawler (CVE-2026-105782)
P3 · Élevée · CVE-2026-105782 — Le RefererMiddleware de Scrapy pouvait interpréter une valeur malveillante de Referrer-Policy comme un chemin d’import Python, puis appeler l’objet correspondant.…
-
Langflow : dérivation insuffisamment sûre de la clé de chiffrement des identifiants
P3 · Critique · CVE-2026-9205 — Langflow dérivait la clé Fernet utilisée pour chiffrer les identifiants stockés à partir de SECRET_KEY au moyen du générateur pseudo-aléatoire…
-
Langflow : exécution de flux sans authentification via les webhooks
P3 · Critique · CVE-2026-8505 — Une erreur dans l’authentification des webhooks de Langflow permettait à un utilisateur non authentifié de déclencher l’exécution d’un flux en…
-
django-haystack : évaluation de code via le gestionnaire de template
P4 · Faible · CVE-2026-105315 — Une mauvaise neutralisation de directives dans le traitement de `result_class` du gestionnaire de template « more_like_this » de django-haystack permet…