Le journal DFS
Python
-
Injection de code dans le backend Python d’Elo via son API AST
P3 · Élevée · CVE-2026-44265 — L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend…
-
Injection de code Python via les chemins OpenAPI dans fastapi-code-generator
P3 · Critique · CVE-2026-63471 — fastapi-code-generator insère un chemin OpenAPI dans le décorateur de route généré sans échapper les guillemets. Un chemin contrôlé ou influencé…
-
Injection de code Python via le résumé d’opération dans fastapi-code-generator
P3 · Critique · CVE-2026-63470 — fastapi-code-generator insère le champ `Operation.summary` dans la docstring du gestionnaire de route généré sans échapper les guillemets triples. Une valeur…
-
Injection de code Python dans les clés de réponse générées par fastapi-code-generator
P3 · Critique · CVE-2026-63469 — fastapi-code-generator insère une clé de code de réponse secondaire issue du document OpenAPI dans le code généré sans échapper les…
-
CVE-2026-120459 — contournement d’authentification par JWT dans python-jose
P3 · Critique · CVE-2026-120459 — Une erreur dans python-jose permet de signer des JWT avec des revendications arbitraires lorsque la clé HMAC utilisée pour la…
-
CVE-2026-120338 — évasion du bac à sable Python de Prefab UI
P3 · Critique · CVE-2026-120338 — Une faille d’évasion du bac à sable de Prefab UI permet au code Python fourni par un appelant de lire…
-
GHSA-f93h-mc69-274w — paquet PyPI pystr-codec malveillant
P3 · Critique — Le paquet PyPI pystr-codec contenait un fichier .pth malveillant qui exécutait du code à chaque démarrage de Python. Les éléments de l’avis…
-
python-aiohttp : désynchronisation de requêtes liée aux mises à niveau WebSocket
P4 · CVE-2026-69243 — Debian a publié un avis de sécurité pour python-aiohttp signalant une vulnérabilité de désynchronisation de requêtes liée aux mises à niveau WebSocket…
-
python-aiohttp : décompression WebSocket sans négociation de permessage-deflate
P4 · CVE-2026-59881 — Debian a publié un avis de sécurité pour python-aiohttp signalant que le client WebSocket accepte et décompresse des trames avec le bit…
-
python-aiohttp : épuisement de ressources après déconnexion pendant une écriture
P4 · CVE-2026-54280 — Debian a publié un avis de sécurité pour python-aiohttp signalant un risque d’épuisement des ressources lorsque des ressources de payload ne sont…