Le journal DFS
Python
-
CVE-2026-77271 : écriture hors répertoire et risque d’exécution de code dans mcp-atlassian
P3 · Élevée · CVE-2026-77271 — Des appels Confluence omettaient le répertoire de base lors de la validation d’un chemin. La validation utilisait alors le répertoire…
-
CVE-2026-77274 : contournement SSRF dans MCP Atlassian via URL avec antislash
P3 · Élevée · CVE-2026-77274 — La validation SSRF de mcp-atlassian peut être contournée avec des URL utilisant une barre oblique inverse avant une syntaxe de…
-
CVE-2026-77259 : lecture et exfiltration de fichiers Linux via mcp-atlassian
P3 · Élevée · CVE-2026-77259 — mcp-atlassian corrige une validation de chemin absente dans l’outil Confluence d’ajout de pièce jointe. Un client MCP authentifié peut faire…
-
LightRAG : CVE-2026-85734, absence de limitation sur /login corrigée en 1.5.5
P2 · Critique · CVE-2026-85734 — L’API LightRAG exposait son endpoint POST /login sans limitation de débit, verrouillage de compte ni temporisation après les échecs. Un…
-
GHSA-v257-9gjr-rv2j : le paquet PyPI auclean vole des données et identifiants cloud à l’installation
P2 · Critique — L’advisory GitHub confirme que les versions 0.4.2, 0.4.3 et 0.4.4 du paquet PyPI auclean sont malveillantes. Elles sont associées à la campagne…
-
GHSA-xvhj-gvc7-m4xf : starlette-healthcheck exfiltre la topologie des secrets vers Azure Container Apps
P3 · Élevée — L’advisory relatif à starlette-healthcheck a été substantiellement mis à jour dans la fenêtre. Les versions identifiées du paquet PyPI se présentent comme…
-
Zapros : déni de service par chaînes Content-Encoding imbriquées (CVE-2026-61541)
P4 · Moyenne · CVE-2026-61541 — Le client HTTP Python Zapros est vulnérable à une consommation excessive de ressources lors de la réception d’une réponse utilisant…
-
GHSA-94w6-hr49-qjm7 : py-venv-doctor exfiltre toutes les variables d’environnement
P3 · Élevée — L’avis relatif à py-venv-doctor a reçu une mise à jour dans la fenêtre. Les versions affectées exécutent du code durant l’installation puis…
-
GHSA-6g46-rqp7-42mp : starlette-healthchecks PyPI, typosquatting et télémétrie malveillante
P3 · Élevée — starlette-healthchecks@1.3.1 a été ajouté à la base GitHub Advisory comme paquet PyPI malveillant, dans la campagne 2026-09-starlette-healthcheck. L’avis le décrit comme une…
-
CVE-2026-55071 : injection de commandes via l’outil MCP ado_package_install de MCP-for-Stata
P3 · Élevée · CVE-2026-55071 — L’outil MCP ado_package_install de MCP-for-Stata permet l’injection de commandes Stata via son paramètre de paquet, pouvant conduire à l’exécution de…