CVE Analysis ArticlesArticles Analyse CVE

npm npm

Node.js 24 LTS Security Guide 2026: Post-Quantum TLS, npm v12 Bundled & Migration from Node 22

Guide Sécurité Node.js 24 LTS en 2026 : TLS Post-Quantique, npm v12 Intégré & Migration depuis Node 22

Node.js 24 Krypton LTS ships OpenSSL 3.5 with NIST post-quantum crypto (ML-KEM FIPS 203, ML-DSA FIPS 204), bundles npm v12 (install scripts blocked by default), and stabilizes TypeScript type stripping. 20+ CVEs patched in 2026 including CVE-2026-48618 (TLS wildcard bypass CVSS 7.7) and CVE-2026-48933 (WebCrypto 2 GiB crash). Complete guide: post-quantum TLS setup, npm v12 migration, V8 13.6 breaking changes, and Node 22→24 migration checklist.

Node.js 24 Krypton LTS embarque OpenSSL 3.5 avec la crypto post-quantique NIST (ML-KEM FIPS 203, ML-DSA FIPS 204), intègre npm v12 (scripts d’installation bloqués par défaut) et stabilise le stripping de types TypeScript. Plus de 20 CVE corrigées en 2026 dont CVE-2026-48618 (bypass wildcard TLS CVSS 7.7) et CVE-2026-48933 (crash WebCrypto 2 Gio). Guide complet : configuration TLS post-quantique, migration npm v12, breaking changes V8 13.6 et checklist de migration Node 22→24.

July 2026 Juillet 2026 Read Lire

npm npm

Node.js 22 Security Guide 2026: Stable Permission Model, 3 Bypass CVEs & Node 24 Upgrade Path

Guide Sécurité Node.js 22 en 2026 : Permission Model Stable, 3 CVE de Bypass & Chemin vers Node 24

Node.js 22 Permission Model became Stable in v22.13.0. The June 18, 2026 release (v22.23.0) then patched 12 CVEs — including CVE-2026-48618 (TLS wildcard bypass CVSS 7.7), CVE-2026-48933 (WebCrypto 2 GiB crash) and 3 Permission Model bypasses (CVE-2026-48617, -48935, -48936). Full developer guide: Permission Model setup, native WebSocket & Web Crypto API, Node 22 vs Node 24 decision, and a complete hardening checklist.

Le Permission Model de Node.js 22 est passé en Stable depuis la v22.13.0. La release du 18 juin 2026 (v22.23.0) a ensuite corrigé 12 CVE — dont CVE-2026-48618 (bypass wildcard TLS CVSS 7.7), CVE-2026-48933 (crash WebCrypto 2 Gio) et 3 bypass du Permission Model (CVE-2026-48617, -48935, -48936). Guide développeur complet : configuration du Permission Model, WebSocket & Web Crypto API natifs, guide de choix Node 22 vs Node 24, et checklist de durcissement complète.

July 2026 Juillet 2026 Read Lire

npm npm

Node.js 20 is EOL: 12 CVEs Unpatched, AWS Lambda August Deadline & Migration Guide to Node 22/24

Node.js 20 en fin de vie : 12 CVE sans correctif, Déadline AWS Lambda août & Guide de Migration vers Node 22/24

Node.js 20 hit EOL April 30, 2026 — and the June 18 patch batch fixed 12 CVEs (CVE-2026-48618 TLS wildcard bypass CVSS 7.7, CVE-2026-48933 WebCrypto 2 GiB crash) that Node 20 will never receive. AWS Lambda blocks new nodejs20.x function creation on August 31 and function updates on September 30. Breaking changes Node 20→22, Node 22 vs Node 24 decision guide, and a step-by-step migration checklist.

Node.js 20 a atteint sa fin de vie le 30 avril 2026 — et le lot de correctifs du 18 juin a corrigé 12 CVE (CVE-2026-48618 bypass TLS wildcard CVSS 7.7, CVE-2026-48933 crash WebCrypto 2 Gio) que Node 20 ne recevra jamais. AWS Lambda bloque la création de nouvelles fonctions nodejs20.x le 31 août et les mises à jour le 30 septembre. Breaking changes Node 20→22, guide de choix Node 22 vs Node 24, et checklist de migration étape par étape.

July 2026 Juillet 2026 Read Lire

Python Python

FastAPI Security Vulnerabilities in 2026: CVE-2026-48710 BadHost Auth Bypass, Pydantic AI SSRF & Production Hardening Guide

Vulnérabilités Sécurité FastAPI en 2026 : CVE-2026-48710 BadHost Bypass Auth, SSRF Pydantic AI & Guide Durcissement Production

CVE-2026-48710 BadHost bypasses path-based auth in FastAPI, vLLM & LiteLLM via a single injected character in the Host header — 325M Starlette weekly downloads at risk, 4-month exposure window (Jan–May 2026). Pydantic AI SSRF chain (CVE-2026-25580 + CVE-2026-46678), ormar validation bypass (CVE-2026-27953), fastar typosquat & async dependency injection security pitfalls. Complete production hardening guide.

CVE-2026-48710 BadHost contourne l'auth basée sur les chemins dans FastAPI, vLLM & LiteLLM via un seul caractère injecté dans l'en-tête Host — 325M téléchargements Starlette/semaine à risque, fenêtre d'exposition de 4 mois (jan.–mai 2026). Chaîne SSRF Pydantic AI (CVE-2026-25580 + CVE-2026-46678), bypass validation ormar (CVE-2026-27953), typosquat fastar & pièges d'injection de dépendances async. Guide de durcissement production complet.

June 2026 Juin 2026 Read Lire

Guides Guides

Spring Boot 4 Security in 2026: CVE-2026-40976 Total Auth Bypass, CVE-2026-22752 OAuth2 SSRF & Spring Security 7.0 Migration Guide

Sécurité Spring Boot 4 en 2026 : CVE-2026-40976 Bypass Auth Total, CVE-2026-22752 SSRF OAuth2 & Guide Migration Spring Security 7.0

CVE-2026-40976 (CVSS 9.1) silently makes every endpoint in Spring Boot 4.0.0–4.0.5 accessible without authentication when a specific dependency condition is met. CVE-2026-22752 (CVSS 9.6) turns Dynamic Client Registration into a stored XSS & SSRF vector. Spring Boot 3.5 reaches EOL on June 30, 2026. Full Spring Security 7.0 migration guide with security-breaking changes and hardening checklist.

CVE-2026-40976 (CVSS 9.1) rend silencieusement tous les endpoints de Spring Boot 4.0.0–4.0.5 accessibles sans authentification dans une condition de dépendance spécifique. CVE-2026-22752 (CVSS 9.6) transforme le Dynamic Client Registration en vecteur XSS stocké & SSRF. Spring Boot 3.5 atteint sa fin de vie le 30 juin 2026. Guide complet de migration Spring Security 7.0 avec changements cassants et checklist de durcissement.

June 2026 Juin 2026 Read Lire

Guides Guides

Ansible Security Vulnerabilities in 2026: CVE-2026-11332 (Galaxy RCE), CVE-2026-6266 (Account Hijacking) & Playbook Hardening Guide

Vulnérabilités Sécurité Ansible en 2026 : CVE-2026-11332 (RCE Galaxy), CVE-2026-6266 (Détournement de Compte) & Guide Durcissement Playbook

CVE-2026-11332 (CVSS 7.8, June 5 2026): a malicious Ansible Galaxy role executes arbitrary code on your machine via argument injection in requirements.yml — before any playbook runs. CVE-2026-6266 (CVSS 8.3): Ansible Automation Platform auto-links IDP identities by email without verification, enabling full admin account hijacking. Vault best practices, no_log patterns & Galaxy supply chain hardening guide.

CVE-2026-11332 (CVSS 7.8, 5 juin 2026) : un rôle Ansible Galaxy malveillant exécute du code arbitraire sur votre machine via injection d’arguments dans requirements.yml — avant toute exécution de playbook. CVE-2026-6266 (CVSS 8.3) : Ansible Automation Platform lie automatiquement les identités IDP par email sans vérification, permettant le détournement total du compte admin. Bonnes pratiques Vault, patterns no_log & guide durcissement supply chain Galaxy.

June 2026 Juin 2026 Read Lire

Databases Bases de données

PostgreSQL Security Vulnerabilities in 2026: 11 CVEs in May, pgcrypto RCE & Developer Hardening Guide

Vulnérabilités PostgreSQL en 2026 : 11 CVE en Mai, RCE pgcrypto & Guide de Durcissement

PostgreSQL published 16 CVEs in 2026 — nearly double its 2025 count. May’s mega-patch (18.4/17.10/16.14) fixed CVE-2026-6637 (refint stack overflow + SQL injection, CVSS 8.8), CVE-2026-6473 (integer wraparound RCE, CVSS 8.8) & CVE-2026-6475 (symlink traversal, CVSS 8.8). Plus: CVE-2026-2005 pgcrypto 20-year-old heap overflow & PostgreSQL 14 EOL November 2026.

PostgreSQL a publié 16 CVE en 2026 — près du double de son total 2025. Le mega-patch de mai (18.4/17.10/16.14) a corrigé CVE-2026-6637 (dépassement de pile refint + injection SQL, CVSS 8,8), CVE-2026-6473 (wraparound entier RCE, CVSS 8,8) & CVE-2026-6475 (traversal lien symbolique, CVSS 8,8). Plus : CVE-2026-2005 pgcrypto heap overflow vieux de 20 ans & fin de vie PostgreSQL 14 en novembre 2026.

June 2026 Juin 2026 Read Lire

Python Python

Python Security Vulnerabilities in 2026: CVE-2026-3298 asyncio, BadHost (Starlette) & tarfile Bypass Guide

Vulnérabilités Sécurité Python en 2026 : CVE-2026-3298 asyncio, BadHost (Starlette) & Bypass tarfile

CVE-2026-3298 (CVSS 8.8) triggers out-of-bounds writes in asyncio on all Windows Python 3.11+ deployments. CVE-2026-48710 BadHost bypasses FastAPI & LiteLLM auth via a single injected character in the Host header — 325M Starlette downloads/week at risk. Python 3.11 EOL October 2026. tarfile filter bypass (CVE-2025-4517) & full hardening guide.

CVE-2026-3298 (CVSS 8.8) déclenche des écritures hors limites dans asyncio sur tous les déploiements Windows Python 3.11+. CVE-2026-48710 BadHost contourne l’auth FastAPI & LiteLLM via un caractère injecté dans l’en-tête Host — 325M téléchargements Starlette/semaine exposés. Python 3.11 EOL octobre 2026. Bypass filtre tarfile (CVE-2025-4517) & guide durcissement complet.

June 2026 Juin 2026 Read Lire

Kubernetes Kubernetes

Kubernetes & Helm Chart Security in 2026: CVE-2026-41323 (Kyverno Cluster Takeover), CVE-2026-35206 (Helm Path Traversal) & Falco Runtime Guide

Sécurité Kubernetes & Helm en 2026 : CVE-2026-41323 (Prise de Contrôle Cluster Kyverno), CVE-2026-35206 (Path Traversal Helm) & Guide Runtime Falco

CVE-2026-41323 (CVSS 8.1) leaks Kyverno ServiceAccount tokens to any URL — full cluster takeover & cloud IAM exfiltration on EKS/GKE/AKS. CVE-2026-35206 allows crafted Helm charts to write files outside target directories via dot-segment names. 69 public charts grant root-equivalent cluster access. Complete Falco + eBPF runtime hardening guide.

CVE-2026-41323 (CVSS 8.1) divulgue les tokens ServiceAccount Kyverno vers n'importe quelle URL — prise de cluster complète & exfiltration IAM cloud sur EKS/GKE/AKS. CVE-2026-35206 permet à des charts Helm craftés d'écrire des fichiers hors des répertoires cibles via des noms segments-points. 69 charts publics accordent un accès équivalent root. Guide complet de durcissement runtime Falco + eBPF.

May 2026 Mai 2026 Read Lire

Guides Guides

OpenSSL 3.5 Security in 2026: CVE-2025-15467 (CVSS 9.8), Post-Quantum TLS Downgrade & Python/Rust Guide

Sécurité OpenSSL 3.5 en 2026 : CVE-2025-15467 (CVSS 9.8), Downgrade TLS Post-Quantique & Guide Python/Rust

12 CVEs in OpenSSL’s January 2026 advisory — all AI-discovered. CVE-2025-15467 (CVSS 9.8) is a pre-auth stack overflow in CMS parsing with public PoC. CVE-2026-2673 silently downgrades X25519MLKEM768 to classical X25519 with no error. OpenSSL 3.0 EOL September 2026. Complete Python (cryptography 45.0.7+, pyOpenSSL 26.2), Rust (openssl crate vs rustls) & post-quantum migration guide.

12 CVE dans l’avis OpenSSL de janvier 2026 — toutes découvertes par IA. CVE-2025-15467 (CVSS 9.8) est un stack overflow pré-auth dans le parsing CMS avec PoC public. CVE-2026-2673 dégrade silencieusement X25519MLKEM768 vers X25519 classique sans erreur. OpenSSL 3.0 fin de vie septembre 2026. Guide complet Python (cryptography 45.0.7+, pyOpenSSL 26.2), Rust (crate openssl vs rustls) & migration post-quantique.

May 2026 Mai 2026 Read Lire

.NET / NuGet .NET / NuGet

.NET & NuGet Security Vulnerabilities in 2026: CVE-2026-40372 (CVSS 9.1), Malicious Packages & NuGetAudit Guide

Vulnérabilités .NET & NuGet en 2026 : CVE-2026-40372 (CVSS 9.1), Packages Malveillants & Guide NuGetAudit

CVE-2026-40372 (CVSS 9.1) lets attackers forge ASP.NET Core auth cookies & decrypt protected payloads on Linux/macOS — patched in 10.0.7, key ring rotation mandatory. Plus May Patch Tuesday .NET tampering, 9 ICS logic-bomb packages (9,488 downloads), and the complete NuGetAudit 2.0 hardening guide with CI/CD gate, CPM pinning & private feed isolation.

CVE-2026-40372 (CVSS 9.1) permet de forger des cookies ASP.NET Core & déchiffrer des payloads protégés sous Linux/macOS — corrigé en 10.0.7, rotation du key ring obligatoire. Plus le Patch Tuesday mai (falsification .NET), 9 packages à bombe logique ICS (9 488 téléchargements), et le guide complet NuGetAudit 2.0 avec porte CI/CD, CPM et isolation flux privé.

May 2026 Mai 2026 Read Lire

Java Java

Spring Boot Security Vulnerabilities in 2026: CVE-2026-40976 (CVSS 9.1), Zombie Dependencies & Hardening Guide

Vulnérabilités Spring Boot en 2026 : CVE-2026-40976 (CVSS 9.1), Dépendances Zombies & Guide de Durcissement

CVE-2026-40976 (CVSS 9.1) silently disables Spring Boot’s default security filter chain — all endpoints become unauthenticated with no warning. 37 Spring CVEs in 2 months, 24 upstream CVEs in May 2026 alone (Tomcat/Netty/Thymeleaf). MavenGate: 6,170 Maven Central domains hijackable. Complete 2026 hardening guide for Java devs.

CVE-2026-40976 (CVSS 9.1) désactive silencieusement la chaîne de filtres de sécurité par défaut de Spring Boot — tous les endpoints deviennent non authentifiés sans avertissement. 37 CVE Spring en 2 mois, 24 CVE en amont en mai 2026 seul (Tomcat/Netty/Thymeleaf). MavenGate : 6 170 domaines Maven Central hijackables. Guide complet de durcissement 2026.

May 2026 Mai 2026 Read Lire