CVE Analysis ArticlesArticles Analyse CVE

Guides Guides

OpenSSL 3.5 Security in 2026: CVE-2025-15467 (CVSS 9.8), Post-Quantum TLS Downgrade & Python/Rust Guide

Sécurité OpenSSL 3.5 en 2026 : CVE-2025-15467 (CVSS 9.8), Downgrade TLS Post-Quantique & Guide Python/Rust

12 CVEs in OpenSSL’s January 2026 advisory — all AI-discovered. CVE-2025-15467 (CVSS 9.8) is a pre-auth stack overflow in CMS parsing with public PoC. CVE-2026-2673 silently downgrades X25519MLKEM768 to classical X25519 with no error. OpenSSL 3.0 EOL September 2026. Complete Python (cryptography 45.0.7+, pyOpenSSL 26.2), Rust (openssl crate vs rustls) & post-quantum migration guide.

12 CVE dans l’avis OpenSSL de janvier 2026 — toutes découvertes par IA. CVE-2025-15467 (CVSS 9.8) est un stack overflow pré-auth dans le parsing CMS avec PoC public. CVE-2026-2673 dégrade silencieusement X25519MLKEM768 vers X25519 classique sans erreur. OpenSSL 3.0 fin de vie septembre 2026. Guide complet Python (cryptography 45.0.7+, pyOpenSSL 26.2), Rust (crate openssl vs rustls) & migration post-quantique.

May 2026 Mai 2026 Read Lire

.NET / NuGet .NET / NuGet

.NET & NuGet Security Vulnerabilities in 2026: CVE-2026-40372 (CVSS 9.1), Malicious Packages & NuGetAudit Guide

Vulnérabilités .NET & NuGet en 2026 : CVE-2026-40372 (CVSS 9.1), Packages Malveillants & Guide NuGetAudit

CVE-2026-40372 (CVSS 9.1) lets attackers forge ASP.NET Core auth cookies & decrypt protected payloads on Linux/macOS — patched in 10.0.7, key ring rotation mandatory. Plus May Patch Tuesday .NET tampering, 9 ICS logic-bomb packages (9,488 downloads), and the complete NuGetAudit 2.0 hardening guide with CI/CD gate, CPM pinning & private feed isolation.

CVE-2026-40372 (CVSS 9.1) permet de forger des cookies ASP.NET Core & déchiffrer des payloads protégés sous Linux/macOS — corrigé en 10.0.7, rotation du key ring obligatoire. Plus le Patch Tuesday mai (falsification .NET), 9 packages à bombe logique ICS (9 488 téléchargements), et le guide complet NuGetAudit 2.0 avec porte CI/CD, CPM et isolation flux privé.

May 2026 Mai 2026 Read Lire

Java Java

Spring Boot Security Vulnerabilities in 2026: CVE-2026-40976 (CVSS 9.1), Zombie Dependencies & Hardening Guide

Vulnérabilités Spring Boot en 2026 : CVE-2026-40976 (CVSS 9.1), Dépendances Zombies & Guide de Durcissement

CVE-2026-40976 (CVSS 9.1) silently disables Spring Boot’s default security filter chain — all endpoints become unauthenticated with no warning. 37 Spring CVEs in 2 months, 24 upstream CVEs in May 2026 alone (Tomcat/Netty/Thymeleaf). MavenGate: 6,170 Maven Central domains hijackable. Complete 2026 hardening guide for Java devs.

CVE-2026-40976 (CVSS 9.1) désactive silencieusement la chaîne de filtres de sécurité par défaut de Spring Boot — tous les endpoints deviennent non authentifiés sans avertissement. 37 CVE Spring en 2 mois, 24 CVE en amont en mai 2026 seul (Tomcat/Netty/Thymeleaf). MavenGate : 6 170 domaines Maven Central hijackables. Guide complet de durcissement 2026.

May 2026 Mai 2026 Read Lire

Guides Guides

Docker Compose Security in 2026: CVE-2025-62725 (CVSS 8.9), Secrets Exposure & Hardening Guide

Sécurité Docker Compose en 2026 : CVE-2025-62725 (CVSS 8.9), Exposition des Secrets & Guide de Durcissement

CVE-2025-62725 (CVSS 8.9) overwrites arbitrary host files via docker compose ps — no containers needed, fixed in Compose 2.40.2. CVE-2026-34040 (CVSS 8.8) bypasses Docker Engine AuthZ plugins with one padded request, fixed in Engine 29.3.1. Complete 2026 hardening checklist: secrets management, port binding, capabilities, rootless containers.

CVE-2025-62725 (CVSS 8.9) écrase des fichiers arbitraires via docker compose ps — sans lancer de conteneur, corrigée dans Compose 2.40.2. CVE-2026-34040 (CVSS 8.8) contourne les plugins AuthZ Docker Engine avec une requête rembourrée, corrigée dans Engine 29.3.1. Checklist de durcissement 2026 : gestion des secrets, liaison des ports, capabilities, conteneurs rootless.

May 2026 Mai 2026 Read Lire

Vue.js / Nuxt Vue.js / Nuxt

Vue.js & Nuxt Security Vulnerabilities in 2026: CVE-2025-52662 DevTools RCE Chain, CDN Cache Poisoning & Hardening Guide

Vulnérabilités Vue.js & Nuxt en 2026 : Chaîne RCE DevTools CVE-2025-52662, Empoisonnement Cache CDN & Guide de Durcissement

Nuxt patched 4 CVEs in 2025–2026 — CVE-2025-52662 (CVSS 6.9) chains XSS → auth token exfiltration → path traversal → RCE in DevTools, CVE-2025-27415 (CVSS 7.5) poisons CDN caches with crafted headers, CVE-2026-34404 & CVE-2026-34405 expose unauthenticated OG Image endpoints to DoS & reflected XSS. v-html XSS patterns & nuxt-security hardening guide for 6.4M weekly Vue downloads.

Nuxt a corrigé 4 CVE en 2025–2026 — CVE-2025-52662 (CVSS 6.9) chaîne XSS → exfiltration token → path traversal → RCE dans DevTools, CVE-2025-27415 (CVSS 7.5) empoisonne les caches CDN, CVE-2026-34404 & CVE-2026-34405 exposent les endpoints OG Image non authentifiés à un DoS & XSS réfléchi. Patterns XSS v-html & guide de durcissement nuxt-security.

May 2026 Mai 2026 Read Lire

React React

React Security Vulnerabilities in 2026: CVE-2025-55182 (CVSS 10.0 React2Shell), RSC DoS Chain & Hardening Guide

Vulnérabilités React en 2026 : CVE-2025-55182 (CVSS 10.0 React2Shell), Chaîne DoS RSC & Guide de Durcissement

React published 6 CVEs between December 2025 and May 2026. CVE-2025-55182 (React2Shell, CVSS 10.0) enabled unauthenticated RCE on any RSC deployment — exploited within 48h, 766 servers compromised. CVE-2026-23870 (CVSS 7.5) crashes RSC apps via low-bandwidth requests. Cloudflare added WAF mitigations May 6, 2026. dangerouslySetInnerHTML XSS patterns & complete hardening guide.

React a publié 6 CVE entre décembre 2025 et mai 2026. CVE-2025-55182 (React2Shell, CVSS 10.0) permettait un RCE non authentifié sur tout déploiement RSC — exploitée en 48h, 766 serveurs compromis. CVE-2026-23870 (CVSS 7.5) crashe les apps RSC via des requêtes à faible débit. Cloudflare a ajouté des atténuations WAF le 6 mai 2026. Patterns XSS dangerouslySetInnerHTML & guide de durcissement complet.

May 2026 Mai 2026 Read Lire

npm npm

TanStack npm Supply Chain Attack in 2026: CVE-2026-45321 (CVSS 9.6), Mini Shai-Hulud Worm & CI/CD Hardening Guide

Attaque Supply Chain npm TanStack en 2026 : CVE-2026-45321 (CVSS 9.6), Ver Mini Shai-Hulud & Comment Protéger Votre CI/CD

CVE-2026-45321 (CVSS 9.6): 84 malicious @tanstack/* versions published in 6 minutes on May 11, 2026 via GitHub Actions OIDC token theft — the first npm worm to bypass SLSA Build Level 3 provenance. 518M+ cumulative downloads affected across 170+ npm & PyPI packages. Pull_request_target attack chain explained & full CI/CD hardening checklist.

CVE-2026-45321 (CVSS 9.6) : 84 versions malveillantes @tanstack/* publiées en 6 minutes le 11 mai 2026 via vol de token OIDC GitHub Actions — premier ver npm à contourner la provenance SLSA Build Level 3. 518M+ téléchargements cumulés affectés sur 170+ packages npm & PyPI. Chaîne d’attaque pull_request_target expliquée & guide de durcissement CI/CD complet.

May 2026 Mai 2026 Read Lire

Svelte / SvelteKit Svelte / SvelteKit

Svelte & SvelteKit Security Vulnerabilities in 2026: CVE-2026-40073 (CVSS 8.2), SvelteSpill Cache Deception & Hardening Guide

Vulnérabilités Svelte & SvelteKit en 2026 : CVE-2026-40073 (CVSS 8.2), SvelteSpill Cache Deception & Guide de Durcissement

SvelteKit disclosed 6 CVEs in 2026 — CVE-2026-40073 (CVSS 8.2) lets unauthenticated attackers bypass BODY_SIZE_LIMIT via chunked encoding. CVE-2025-67647 enables full-read SSRF & one-shot DoS via prerendered routes. SvelteSpill (CVE-2026-27118) leaks authenticated session data through Vercel CDN. devalue CVEs exhaust server memory from a single request. Hardening checklist included.

SvelteKit a divulgué 6 CVE en 2026 — CVE-2026-40073 (CVSS 8.2) permet à des attaquants non authentifiés de contourner BODY_SIZE_LIMIT via l’encodage par chunks. CVE-2025-67647 active le SSRF à lecture complète & DoS en un coup via les routes pré-rendues. SvelteSpill (CVE-2026-27118) fuit les données de session authentifiées via le CDN Vercel. Check-list de durcissement incluse.

May 2026 Mai 2026 Read Lire

npm npm

TypeScript & Deno Security Vulnerabilities in 2026: CVE-2026-32260 Command Injection Chain & Hardening Guide

Vulnérabilités TypeScript & Deno en 2026 : Chaîne d’Injection CVE-2026-32260 & Guide de Durcissement

Deno patched 4 CVEs between January and May 2026 — CVE-2026-32260 (CVSS 8.1) bypasses the fix for CVE-2026-27190 via backtick substitution in double-quoted arguments, CVE-2026-41690 (CVSS 8.6) lets unauthenticated clients pollute Object.prototype. TypeScript type confusion pitfalls, deno.lock & import maps hardening guide.

Deno a corrigé 4 CVE entre janvier et mai 2026 — CVE-2026-32260 (CVSS 8.1) contourne le correctif de CVE-2026-27190 via la substitution par guillemets obliques dans des arguments entre guillemets doubles, CVE-2026-41690 (CVSS 8.6) permet à des clients non authentifiés de polluer Object.prototype. Pièges de confusion de types TypeScript, guide de durcissement deno.lock & import maps.

May 2026 Mai 2026 Read Lire

Angular Angular

Angular Security Vulnerabilities in 2026: CVE-2026-27739 (CVSS 9.2 SSRF), XSS Epidemic & Hardening Guide

Vulnérabilités Angular en 2026 : CVE-2026-27739 (CVSS 9.2 SSRF), Épidémie XSS & Guide de Durcissement

Angular patched 7 CVEs across 2025–2026 — CVE-2026-27739 (CVSS 9.2, Critical SSRF in SSR pipeline), CVE-2026-22610 (CVSS 8.5, XSS via SVG script attributes), CVE-2026-27970 (XSS in i18n ICU messages affecting every Angular version ever released). CSP, TrustedTypes & full hardening guide.

Angular a corrigé 7 CVE en 2025–2026 — CVE-2026-27739 (CVSS 9.2, SSRF Critique dans le pipeline SSR), CVE-2026-22610 (CVSS 8.5, XSS via attributs SVG script), CVE-2026-27970 (XSS dans les messages ICU i18n affectant toutes les versions Angular jamais publiées). CSP, TrustedTypes & guide de durcissement complet.

May 2026 Mai 2026 Read Lire

npm npm

OpenSSL & Node.js TLS Security in 2026: CVE-2026-2673 (Post-Quantum Fallback), 12 OpenSSL CVEs & Production Hardening Guide

Sécurité OpenSSL & TLS dans Node.js en 2026 : CVE-2026-2673 (Repli Post-Quantique), 12 CVE OpenSSL & Guide de Durcissement

OpenSSL’s January 2026 advisory disclosed 12 CVEs — CVE-2025-15467 (High, RCE-class buffer overflow in CMS AEAD) & CVE-2025-11187 (Moderate, PKCS#12 DoS). CVE-2026-2673 silently downgrades post-quantum TLS 1.3 from X25519MLKEM768 to classical X25519 on OpenSSL 3.5/3.6. Full production TLS 1.3 config, HSTS & certificate management guide.

L’advisory OpenSSL de janvier 2026 divulgue 12 CVE — CVE-2025-15467 (High, buffer overflow RCE dans CMS AEAD) & CVE-2025-11187 (Moderate, DoS PKCS#12). CVE-2026-2673 dégrade silencieusement le TLS 1.3 post-quantique de X25519MLKEM768 vers X25519 classique sur OpenSSL 3.5/3.6. Configuration TLS 1.3, HSTS & gestion des certificats en production.

May 2026 Mai 2026 Read Lire

npm npm

Node.js & Express Security Vulnerabilities in 2026: 16 CVEs, Node 20 EOL & Hardening Guide

Vulnérabilités Node.js & Express en 2026 : 16 CVE, EOL Node 20 & Guide de Durcissement

Node.js patched 16 CVEs in Q1 2026 — CVE-2026-21637 crashes TLS servers with a single malformed SNI packet (High), CVE-2026-21710 brings down HTTP servers via a __proto__ header (High), CVE-2026-4867/4923 bring ReDoS back to Express routing. Node.js 20 reached EOL April 30, 2026. Full hardening guide with helmet.js and express-rate-limit.

Node.js a corrigé 16 CVE au T1 2026 — CVE-2026-21637 crashe les serveurs TLS avec un seul paquet SNI mal formé (High), CVE-2026-21710 fait tomber les serveurs HTTP via un header __proto__ (High), CVE-2026-4867/4923 réintroduisent le ReDoS dans le routage Express. Node.js 20 en fin de vie le 30 avril 2026. Guide de durcissement complet avec helmet.js et express-rate-limit.

May 2026 Mai 2026 Read Lire