Vigie VulnDBEuropean-hosted Vulnerability DB
EN
Menu

Librairies hautement exposées

Parmi les 200 bibliothèques aux CVE critiques les plus récentes, celles dont l’utilisation est confirmée sont présentées en premier grâce aux données npm, Maven et PyPI ; les bibliothèques sans mesure ne sont pas exclues.

Mise à jour : CVE List (cvelistV5) : NVD (fkie-cad mirror) : OSV.dev :

BibliothèqueVersions affectéesSévéritéFaiblesseCVECorrigé en
mlflow PyPI 28 CVE critiques3.12.0rc0 – < 3.17.0CRITICAL 9.8CWE-94 Injection de code +1CVE-2026-116692
3.17.0
better-auth npm 7 CVE critiques1.4.0-beta.18 – < 1.7.7CRITICAL 9.1CWE-287 Authentification incorrecteCVE-2026-114607
1.7.7
brotli PyPI 2 CVE critiques1.0.3 – < 1.2.1CRITICAL 9.2 KEVCWE-787 Écriture hors limites +1CVE-2026-111497
1.2.1
brotlicffi PyPI1.0.3 – < 1.2.1.0CRITICAL 9.2 KEVCWE-787 Écriture hors limites +1CVE-2026-111497
1.2.1.0
mem0ai PyPI0.1.117 – < 1.0.8CRITICAL 9.2CWE-89 Injection SQLCVE-2026-115324
1.0.8
pillow PyPI 16 CVE critiques11.0.0 – < 13.0.0CRITICAL 9.8CWE-125 Lecture hors limites +1CVE-2026-96639
13.0.0
@sentry/nextjs npm 2 CVE critiques9.36.0 – < 9.47.2 ; 10.0.0-alpha.0 – < 10.75.2 ; 11.0.0-alpha.0 – < 11.0.0-rc.1CRITICAL 9.1CWE-693 Défaillance du mécanisme de protectionCVE-2026-114139
9.47.2, 10.75.2, 11.0.0-rc.1
trigger.dev npm< 4.5.6CRITICAL 9.2CWE-653 Improper Isolation or CompartmentalizationCVE-2026-114087
4.5.6
vllm PyPI 10 CVE critiques0.7.3 – < 0.31.0CRITICAL 9.2CWE-94 Injection de codeCVE-2026-114053
0.31.0
claude-agent-sdk PyPI< 0.2.121CRITICAL 9.2CWE-20 Validation d'entrée incorrecte +2CVE-2026-96620
0.2.121
undici npm 6 CVE critiques4.0.0 – < 6.29.1 ; 7.0.0 – < 7.30.1 ; 8.0.0 – < 8.12.2CRITICAL 9.1CWE-295 Validation incorrecte de certificatCVE-2026-109383
6.29.1, 7.30.1, 8.12.2
gitpython PyPI 6 CVE critiques3.1.30 – < 3.2.0CRITICAL 9.2CWE-88 Injection d'argumentCVE-2026-110858
3.2.0
git-diff npm< 2.0.7CRITICAL 9.3CWE-78 Injection de commande systèmeCVE-2026-110634
2.0.7
@tanstack/react-start npm 2 CVE critiques1.143.12 – < 1.168.60CRITICAL 9.3CWE-79 Injection de code indirecte (XSS)CVE-2026-102989
1.168.60
@tanstack/solid-start npm 2 CVE critiques1.143.12 – < 1.168.57CRITICAL 9.3CWE-79 Injection de code indirecte (XSS)CVE-2026-102989
1.168.57
@tanstack/start-server-core npm 2 CVE critiques1.143.12 – < 1.169.39CRITICAL 9.3CWE-79 Injection de code indirecte (XSS)CVE-2026-102989
1.169.39
praisonaiagents PyPI 11 CVE critiques< 1.6.59CRITICAL 9.8CWE-306 Authentification absente sur une fonction critique +1CVE-2026-57118
1.6.59
obsidian-tc npm< 1.3.1CRITICAL 9.9CWE-639 Contournement d'autorisation par clé contrôlée par l'utilisateur (IDOR) +1CVE-2026-77366
1.3.1
@tinacms/app npm< 2.5.14CRITICAL 9.3CWE-346 Erreur de validation de l'origine +2CVE-2026-108261
2.5.14
tinacms npm< 3.14.0CRITICAL 9.3CWE-346 Erreur de validation de l'origine +2CVE-2026-108261
3.14.0
com.hazelcast/hazelcast Maven 3 CVE critiques5.6.0 – < 5.7.0 ; 5.5.0 – < 5.7.0 ; < 5.7.0CRITICAL 9.3CWE-20 Validation d'entrée incorrecteCVE-2026-107726
5.7.0
fast-jwt npm 4 CVE critiques6.2.0 – < 6.3.0CRITICAL 9.8CWE-347 Vérification incorrecte d'une signature cryptographiqueCVE-2026-107722
6.3.0
org.asynchttpclient/async-http-client Maven 2 CVE critiques3.0.0 – < 3.0.13 ; 2.0.0 – < 2.16.1CRITICAL 9.4CWE-319 Transmission en clair d'informations sensibles +2CVE-2026-107282
3.0.13, 2.16.1
@backstage/plugin-scaffolder-backend npm 3 CVE critiques< 3.3.1 ; 3.4.0 – < 3.4.1 ; 4.0.0 – < 4.0.3 ; …CRITICAL 9.6CWE-200 Exposition d'informations sensibles à un acteur non autorisé +1CVE-2026-106501
3.3.1, 3.4.1, 4.0.3, 4.1.0
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud npm< 0.3.10CRITICAL 9.9CWE-22 Traversée de répertoire +1CVE-2026-106486
0.3.10
@backstage/plugin-scaffolder-backend-module-bitbucket-server npm< 0.2.25CRITICAL 9.9CWE-22 Traversée de répertoire +1CVE-2026-106486
0.2.25
handlebars npm 6 CVE critiques4.0.0 – < 4.7.10CRITICAL 9.8CWE-94 Injection de code +1CVE-2026-106446
4.7.10
quasar npm< 2.22.0CRITICAL 10.0CWE-79 Injection de code indirecte (XSS) +1CVE-2026-106102
2.22.0
payload npm 5 CVE critiques3.0.0 – < 3.90.0 ; 4.0.0-canary.0 – < 4.0.0-canary.34CRITICAL 9.2CWE-290 Contournement d'authentification par usurpation +1CVE-2026-105863
3.90.0, 4.0.0-canary.34
@payloadcms/plugin-form-builder npm< 3.90.0 ; 4.0.0-canary.0 – < 4.0.0-canary.34CRITICAL 10.0CWE-94 Injection de code +1CVE-2026-105857
3.90.0, 4.0.0-canary.34
@payloadcms/plugin-import-export npm3.0.0 – < 3.88.0 ; 4.0.0-canary.0 – < 4.0.0-canary.27CRITICAL 9.3CWE-1321 Modification non maîtrisée du prototype d'objet (pollution de prototype)CVE-2026-105844
3.88.0, 4.0.0-canary.27
tinypool npm 2 CVE critiques< 2.1.2CRITICAL 9.5CWE-94 Injection de code +1CVE-2026-104849
2.1.2
seroval npm 3 CVE critiques0.12.0 – < 1.6.2CRITICAL 9.8CWE-843 Confusion de type (accès à une ressource via un type incompatible)CVE-2026-104846
1.6.2
@capacitor/android npm6.0.0 – < 6.2.2 ; 7.0.0 – < 7.6.9 ; 8.5.0 – < 8.5.1 ; …CRITICAL 9.3CWE-346 Erreur de validation de l'origine +1CVE-2026-103922
6.2.2, 7.6.9, 8.5.1, 8.4.3, ≤ 8.3.4, sans correctif
@capacitor/ios npm6.0.0 – < 6.2.2 ; 7.0.0 – < 7.6.9 ; 8.5.0 – < 8.5.1 ; …CRITICAL 9.3CWE-346 Erreur de validation de l'origine +1CVE-2026-103922
6.2.2, 7.6.9, 8.5.1, 8.4.3, ≤ 8.3.4, sans correctif
piscina npm5.0.0 – < 5.3.2 ; < 4.9.4 ; 6.0.0-rc.1 – < 6.0.0-rc.5CRITICAL 9.2CWE-1321 Modification non maîtrisée du prototype d'objet (pollution de prototype)CVE-2026-102992
5.3.2, 4.9.4, 6.0.0-rc.5
@simple-git/argv-parser npm< 2.0.1CRITICAL 9.2CWE-78 Injection de commande système +1CVE-2026-102829
2.0.1
simple-git npm 8 CVE critiques3.15.0 – < 4.0.1CRITICAL 9.2CWE-78 Injection de commande système +1CVE-2026-102828
4.0.1
electron npm 9 CVE critiques< 41.10.6 ; 42.0.0-alpha.1 – < 42.9.2 ; 43.0.0-alpha.1 – < 43.4.1 ; …CRITICAL 9.8CWE-269 Gestion incorrecte des privilèges +1CVE-2026-102676
41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
shell-quote npm 4 CVE critiques1.8.4 – < 1.11.0CRITICAL 9.2CWE-78 Injection de commande systèmeCVE-2026-102422
1.11.0
pyjwt PyPI 3 CVE critiques< 2.14.0CRITICAL 9.1CWE-347 Vérification incorrecte d'une signature cryptographiqueCVE-2026-102268
2.14.0
authlib PyPI 2 CVE critiques< 1.9.0CRITICAL 9.8CWE-347 Vérification incorrecte d'une signature cryptographique +3CVE-2026-96760
1.9.0
@xhmikosr/decompress npm 2 CVE critiques11.0.0 – < 11.1.4 ; < 10.2.2CRITICAL 9.1CWE-22 Traversée de répertoire +1CVE-2026-101894
11.1.4, 10.2.2
decompress npm 3 CVE critiques≤ 4.2.1CRITICAL 9.1CWE-22 Traversée de répertoire +1CVE-2026-101894
≤ 4.2.1, sans correctif
vm2 npm 52 CVE critiques< 3.12.2CRITICAL 9.5CWE-863 Autorisation incorrecteCVE-2026-100721
3.12.2
@bytebase/dbhub npm< 0.22.5CRITICAL 9.3CWE-306 Authentification absente sur une fonction critique +1CVE-2026-61742
0.22.5
io.moquette/moquette-broker Maven 2 CVE critiques< 0.18.1CRITICAL 9.3CWE-636 Not Failing SecurelyCVE-2026-95848
0.18.1
suneditor npm< 2.47.11CRITICAL 10.0CWE-79 Injection de code indirecte (XSS)CVE-2026-59167
2.47.11
plone-app-portlets PyPI 2 CVE critiques7.0.0 – < 7.0.2 ; 6.0.0 – < 6.0.4 ; 5.0.0 – < 5.0.8CRITICAL 9.9CWE-95 Injection via evalCVE-2026-57149
7.0.2, 6.0.4, 5.0.8
lightrag-hku PyPI 3 CVE critiques< 1.5.5CRITICAL 9.1CWE-307 Absence de limitation des tentatives d'authentificationCVE-2026-85734
1.5.5
anyio PyPI< 4.14.2CRITICAL 9.3CWE-295 Validation incorrecte de certificat +1CVE-2026-63374
4.14.2
apache-airflow PyPI 17 CVE critiques3.0.0 – < 3.3.2CRITICAL 9.1CWE-613 Expiration de session insuffisanteCVE-2026-86473
3.3.2
org.xwiki.rendering/xwiki-rendering-xml Maven 2 CVE critiques< 14.10.2CRITICAL 9.9CWE-95 Injection via evalCVE-2025-53837
14.10.2
@vendure/core npm 2 CVE critiques< 3.7.0CRITICAL 9.1CWE-287 Authentification incorrecteCVE-2026-63472
3.7.0
@zereight/mcp-gitlab npm 3 CVE critiques< 2.1.27CRITICAL 9.8CWE-22 Traversée de répertoireCVE-2026-61560
2.1.27
dirac PyPI 3 CVE critiques6 – < 8.0.79 ; 8.1.0a1 – < 9.0.22 ; 9.1.0 – < 9.1.10CRITICAL 9.9CWE-89 Injection SQL +1CVE-2026-61667
8.0.79, 9.0.22, 9.1.10
tornado PyPI 2 CVE critiques< 6.4.1CRITICAL 9.0CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2024-14029
6.4.1
org.openidentityplatform.opendj/opendj-server-legacy Maven 2 CVE critiques< 5.1.1CRITICAL 9.2CWE-502 Désérialisation de données non fiablesCVE-2026-46495
5.1.1
org.openidentityplatform.openam/openam-core Maven< 16.1.2CRITICAL 9.8CWE-94 Injection de code +1CVE-2026-62379
16.1.2
proxy-addr npm1.1.0 – < 2.0.8CRITICAL 9.1CWE-290 Contournement d'authentification par usurpation +2CVE-2026-90711
2.0.8
uefi-firmware PyPI 2 CVE critiques≤ 1.12CRITICAL 9.8CWE-787 Écriture hors limitesCVE-2026-54334
≤ 1.12, sans correctif
resdata PyPI< 6.2.9CRITICAL 9.8CWE-120 Copie de tampon sans vérification de taille (débordement classique) +3CVE-2026-55209
6.2.9
yayson npm< 4.3.0CRITICAL 9.1CWE-1321 Modification non maîtrisée du prototype d'objet (pollution de prototype)CVE-2026-61534
4.3.0
omniroute npm≤ 3.8.50CRITICAL 9.5CWE-94 Injection de code +1CVE-2026-88062
≤ 3.8.50, sans correctif
org.freemarker/freemarker Maven2.2.0 – < 2.3.35CRITICAL 9.1CWE-23 Relative Path TraversalCVE-2026-84939
2.3.35
@deepseek-ai/dsh-client-connection npm< 0.1.2-alpha.1CRITICAL 9.4CWE-807 Reliance on Untrusted Inputs in a Security DecisionCVE-2026-82533
0.1.2-alpha.1
@sap/cds-mtxs npm4.0.1 – < 4.0.3 ; 3.0.1 – < 3.9.7 ; 2.0.2 – < 2.7.7 ; …CRITICAL 9.4CWE-522 Identifiants insuffisamment protégésCVE-2026-76969
4.0.3, 3.9.7, 2.7.7, 1.18.4
maplibre-gl npm< 6.4.1CRITICAL 10.0CWE-79 Injection de code indirecte (XSS)CVE-2026-85061
6.4.1
python-jose PyPI 2 CVE critiques≤ 3.5.0CRITICAL 9.3CWE-347 Vérification incorrecte d'une signature cryptographiqueCVE-2026-85394
≤ 3.5.0, sans correctif
next npm 2 CVE critiques13.4.0 – < 15.5.24 ; 16.0.0 – < 16.3.3CRITICAL 9.0CWE-22 Traversée de répertoireCVE-2026-75604
15.5.24, 16.3.3
nodemailer npm 2 CVE critiques< 8.0.4CRITICAL 9.3CWE-93 Injection CRLFCVE-2026-82854
8.0.4
plone-app-event PyPI< 5.2.4 ; 6.0.0a1 – < 6.0.1CRITICAL 9.1CWE-400 Consommation de ressources non maîtrisée (déni de service)CVE-2026-55247
5.2.4, 6.0.1
org.yamcs/yamcs-core Maven 7 CVE critiques5.13.0 – < 5.13.2 ; < 5.12.8CRITICAL 9.9CWE-94 Injection de codeCVE-2026-55565
5.13.2, 5.12.8
org.springframework/spring-webflux Maven 3 CVE critiques5.2.5.RELEASE – 5.2.25.RELEASE ; 5.3.0 – 5.3.49 ; 6.0.0 – 6.0.30 ; …CRITICAL 9.8CWE-863 Autorisation incorrecteCVE-2026-47892
≤ 5.2.25.RELEASE, sans correctif, ≤ 5.3.49, sans correctif, ≤ 6.0.30, sans correctif, ≤ 6.1.28, sans correctif, ≤ 6.2.19, sans correctif, 7.0.9
org.springframework/spring-webmvc Maven 3 CVE critiques6.2.0 – 6.2.19 ; 7.0.0 – < 7.0.9CRITICAL 9.8CWE-93 Injection CRLFCVE-2026-47890
≤ 6.2.19, sans correctif, 7.0.9
org.apache.tomcat.embed/tomcat-embed-core Maven 17 CVE critiques11.0.0-M1 – < 11.0.25 ; 10.1.0-M1 – < 10.1.58 ; 9.0.0-M1 – < 9.0.121 ; …CRITICAL 9.1CWE-863 Autorisation incorrecteCVE-2026-68525
11.0.25, 10.1.58, 9.0.121, ≤ 8.5.100, sans correctif, ≤ 7.0.109, sans correctif
github.com/labstack/echo/v4 Go 2 CVE critiques4.0.0 – < 4.16.1CRITICAL 9.1CWE-444 Dissimulation de requête ou de réponse HTTP +1CVE-2026-118264
4.16.1
github.com/labstack/echo/v5 Go5.0.0 – < 5.4.1CRITICAL 9.1CWE-444 Dissimulation de requête ou de réponse HTTP +1CVE-2026-118264
5.4.1
com.xwiki.pro/xwiki-pro-macros Maven1.13 – < 1.14.5CRITICAL 9.9CWE-95 Injection via evalCVE-2026-44179
1.14.5
praisonai PyPI 32 CVE critiques4.2.1 – < 4.6.59CRITICAL 9.8CWE-200 Exposition d'informations sensibles à un acteur non autorisé +2CVE-2026-57116
4.6.59
github.com/bytebase/bytebase Go< 1.0.1CRITICAL 9.3CWE-290 Contournement d'authentification par usurpationCVE-2022-51026
1.0.1
litellm PyPI 8 CVE critiques1.91.0 – < 1.100.4 ; 1.101.0 – < 1.101.3 ; 1.102.0 – < 1.102.2 ; …CRITICAL 9.9CWE-269 Gestion incorrecte des privilèges +2CVE-2026-114612
1.100.4, 1.101.3, 1.102.2, 1.103.1, 1.104.0rc2
laravel/framework Packagist13.0.0 – < 13.29.0 ; < 12.68.0CRITICAL 9.2CWE-287 Authentification incorrecte +1CVE-2026-114509
13.29.0, 12.68.0
vibe-trading-ai PyPI0.1.0 – < 0.1.7CRITICAL 9.3CWE-306 Authentification absente sur une fonction critiqueCVE-2026-114108
0.1.7
mercury PyPI 2 CVE critiques< 3.2.6CRITICAL 9.8CWE-862 Autorisation absenteCVE-2026-111058
3.2.6
netlicensing-mcp PyPI< 0.1.8CRITICAL 9.6CWE-22 Traversée de répertoireCVE-2026-57496
0.1.8
github.com/dgraph-io/dgraph/v25 Go 7 CVE critiques< 25.4.0CRITICAL 9.2CWE-306 Authentification absente sur une fonction critique +1CVE-2026-102748
25.4.0
github.com/kedacore/keda Go≤ 1.5.0CRITICAL 9.9CWE-269 Gestion incorrecte des privilèges +1CVE-2026-77524
≤ 1.5.0, sans correctif
github.com/kedacore/keda/v2 Go< 2.21.0CRITICAL 9.9CWE-269 Gestion incorrecte des privilèges +1CVE-2026-77524
2.21.0
vitess.io/vitess Go 2 CVE critiques< 0.23.5 ; 0.24.0 – < 0.24.2CRITICAL 9.8CWE-79 Injection de code indirecte (XSS)CVE-2026-104252
0.23.5, 0.24.2
microsoft.native.quic.msquic.schannel NuGet 2 CVE critiques2.5.11-ci.156755675 – < 2.5.11-ci.159417053CRITICAL 9.8CWE-122 Débordement de tampon sur le tasCVE-2026-105016
2.5.11-ci.159417053
microsoft.aspnetcore.app.runtime.linux-arm NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.linux-arm64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.linux-musl-arm NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.linux-musl-arm64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.linux-musl-x64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.linux-x64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.osx-arm64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.osx-x64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21
microsoft.aspnetcore.app.runtime.win-arm64 NuGet 3 CVE critiques8.0.0 – < 8.0.32 ; 10.0.0 – < 10.0.13 ; 11.0.0-preview.1 – < 11.0.0-rc.2 ; …CRITICAL 9.4CWE-444 Dissimulation de requête ou de réponse HTTPCVE-2026-88092
8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21