astral-sh/ruff va bien ?

Oui.

Rien de grave dans ce qu'il livre.

Interne : 8 failles dans les tests et les outils, aucune n'atteint tes utilisateurs.

Vérifié 18:12 UTCcommit 538b558alertes à jour : 18:12 UTC

Poster sur X

Touche tes utilisateurs

20 failles dans ce que le projet livre, les plus graves d'abord.

Peut exposer les données de tes utilisateurs ou permettre une prise de contrôle

zstd 0.13.31 faillecorrigé dans 0.14.3Quelqu'un pourrait lire des données qu'il ne devrait pas voir.
- RUSTSEC-2026-0391Data from an abandoned stream leaks into the next stream on a reused context
zstd-safe 7.2.412 faillescorrigé dans 8.2.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir.
- RUSTSEC-2026-0397`OutBuffer::around_pos` exposes uninitialized memory
- RUSTSEC-2026-0395Use-after-free with `CParameter::StableInBuffer`
- RUSTSEC-2026-0396`Seekable` reads a NULL or out-of-bounds seek table
- RUSTSEC-2026-0398`Seekable::decompress` sets a `Vec` length beyond its capacity for offsets past the end
- RUSTSEC-2026-0399Use-after-free through `init_using_cdict` and `init_using_ddict`
- RUSTSEC-2026-0400Use-after-free of a dictionary after a one-shot call on a context with an open stream
- RUSTSEC-2026-0401Out-of-bounds read in `train_from_buffer` when sample sizes overflow
- RUSTSEC-2026-0402Heap buffer overflow in `CCtx::try_clone` on a multithreaded context
- RUSTSEC-2026-0403Uninitialized memory exposed when streaming decompression of a legacy frame fails
- RUSTSEC-2026-0404Double free in `DCtx::try_clone`
- RUSTSEC-2026-0405Out-of-bounds read with an out-of-range `InBuffer::pos`
- RUSTSEC-2026-0406Use-after-free when changing a multithreaded context with an unfinished frame
zip 8.6.03 faillescorrigé dans 9.0.0Quelqu'un pourrait se faire passer pour un autre utilisateur. Seulement avec un accès à la machine.
- RUSTSEC-2026-0367 Insecure Preservation of SUID/SGID Bits during ZIP Extraction Leading to Potential Privilege Escalation
- RUSTSEC-2026-0369ZipStreamReader::extract() and ZipArchive::extract() apply Unix permissions through symlinks without confining the target
- RUSTSEC-2026-0368zip: `ZipArchive::extract` creates symbolic links whose attacker-controlled targets are outside the destination directory

Peut casser ou ralentir ton service

paste 1.0.151 failleUne faille dont l'effet n'est pas précisé.
- RUSTSEC-2024-0436paste - no longer maintained
proc-macro-error2 2.0.11 failleUne faille dont l'effet n'est pas précisé.
- RUSTSEC-2026-0173proc-macro-error2 is unmaintained
crossbeam-epoch 0.9.181 faillecorrigé dans 0.9.20Une faille dont l'effet n'est pas précisé.
- RUSTSEC-2026-0204Invalid pointer dereference in `fmt::Pointer` impl for `Atomic` and `Shared` when the underlying pointer is invalid
zstd-sys 2.0.16+zstd.1.5.71 faillecorrigé dans 2.1.2Une faille dont l'effet n'est pas précisé.
- RUSTSEC-2026-0410WebAssembly allocator shim corrupts memory on allocation failure

Interne seulement

Outils de dev, tests, exemples, docs et benchmarks : ils n'atteignent pas tes utilisateurs, donc ne comptent jamais dans la réponse.

dompurify 3.4.155 faillescorrigé dans 3.4.17Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
- GHSA-cg2g-xh64-v4q7DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-p98j-92pf-mc4pDOMPurify: IN_PLACE: node-removing afterSanitize hook leaves detached subtree event handlers armed, causing DOM XSS
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
undici 7.29.13 faillescorrigé dans 7.30.1Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser

Préviens-moi par email quand ça change

Un email pour confirmer, puis un seul quand la réponse empire ou qu'une nouvelle faille sérieuse apparaît : au plus un par jour, tout de suite si des attaquants l'utilisent. Un clic pour se désabonner.

Mets le badge dans ton README

Il affiche cette réponse et change avec elle.

[![astral-sh/ruff va bien ?](https://istheinternetok.com/r/astral-sh/ruff/badge.svg)](https://istheinternetok.com/r/astral-sh/ruff/)

Lu dans Cargo.lock, crates/ty_completion_eval/truth/auto-import-includes-modules/uv.lock, crates/ty_completion_eval/truth/auto-import-skips-current-module/uv.lock, crates/ty_completion_eval/truth/auto-import-skips-third-party-tests/uv.lock, crates/ty_completion_eval/truth/class-arg-completion/uv.lock, crates/ty_completion_eval/truth/deprecated-deprioritized/uv.lock, crates/ty_completion_eval/truth/exact-over-fuzzy/uv.lock, crates/ty_completion_eval/truth/fstring-completions/uv.lock, crates/ty_completion_eval/truth/higher-level-symbols-preferred/uv.lock, crates/ty_completion_eval/truth/import-deprioritizes-dunder/uv.lock, crates/ty_completion_eval/truth/import-deprioritizes-sunder/uv.lock, crates/ty_completion_eval/truth/import-deprioritizes-type_check_only/uv.lock, crates/ty_completion_eval/truth/import-keyword-completion/uv.lock, crates/ty_completion_eval/truth/internal-typeshed-hidden/uv.lock, crates/ty_completion_eval/truth/local-over-auto-import/uv.lock, crates/ty_completion_eval/truth/modules-over-other-symbols/uv.lock, crates/ty_completion_eval/truth/none-completion/uv.lock, crates/ty_completion_eval/truth/numpy-array/uv.lock, crates/ty_completion_eval/truth/object-attr-instance-methods/uv.lock, crates/ty_completion_eval/truth/pass-keyword-completion/uv.lock, crates/ty_completion_eval/truth/raise-uses-base-exception/uv.lock, crates/ty_completion_eval/truth/scope-existing-over-new-import/uv.lock, crates/ty_completion_eval/truth/scope-prioritize-closer/uv.lock, crates/ty_completion_eval/truth/scope-simple-long-identifier/uv.lock, crates/ty_completion_eval/truth/stdlib-over-third-party-same-name/uv.lock, crates/ty_completion_eval/truth/tighter-over-looser-scope/uv.lock, crates/ty_completion_eval/truth/tstring-completions/uv.lock, crates/ty_completion_eval/truth/ty-extensions-lower-stdlib/uv.lock, crates/ty_completion_eval/truth/typing-gets-priority/uv.lock, crates/ty_completion_eval/truth/typing-only-auto-import-ranking/uv.lock, fuzz/Cargo.lock, playground/api/package-lock.json, playground/deploy/package-lock.json, playground/package-lock.json, python/py-fuzzer/uv.lock, python/ruff-ecosystem/uv.lock, scripts/benchmarks/uv.lock, scripts/ty_benchmark/package-lock.json, scripts/ty_benchmark/uv.lock, uv.lock.