Auteur
Ostorlab Team
RCE non authentifiée sur les serveurs de tracking MLflow (CVE-2026-116692)
La CVE-2026-116692 (CVSS 9,8) permet à tout appelant d'un serveur de tracking MLflow 3.12.0-3.16.x en configuration par défaut de téléverser du code Python et de le faire exécuter par le processus serveur ; corrigée dans la version 3.17.0.
28 octobre 2026
PolyShell : RCE exploitée dans Magento et Adobe Commerce (CVE-2026-48356)
PolyShell (CVE-2026-48356) permet un téléversement non authentifié dans l'API REST de Magento, ex...
28 octobre 2026
Ostorlab face au pentest manuel : davantage de vulnérabilités critiques, moins de temps et de coûts
Ostorlab rapporte davantage de vulnérabilités critiques, des tests plus courts et des coûts d’éva...
28 octobre 2026
AuthMask : vol de jetons dans Microsoft Authenticator pour Android (CVE-2026-80097)
Avant 6.2606.4246, Microsoft Authenticator pour Android transmettait les jetons professionnels à ...
27 octobre 2026
Autres articles par Ostorlab Team
Contournement de signature JWS dans Authlib, corrigé dans la version 1.9.0 (CVE-2026-96760)
Jusqu'à la version 1.8.0, Authlib considère un objet JWS JSON au tableau de signatures vide comme vérifié, sans consulter la clé : CVE-2026-96760, critique (CVSS 9,1), corrigée dans la version 1.9.0.
27 octobre 2026
RCE non authentifiée dans la sandbox du OpenHands Software Agent SDK (CVE-2026-112346)
Le OpenHands Software Agent SDK expose le port de l'agent sur toutes les interfaces, sans authentification par défaut : RCE en root. 1.52.0 corrige Docker, pas Apptainer.
27 octobre 2026
Tailworm : élévation de privilèges vers root dans Tailscale SSH
Le démon root de Tailscale SSH se connecte aux sockets Unix et les remplace pour les utilisateurs approuvés, permettant un accès root sur les serveurs autorisés ; installez 1.104.4 ou ultérieur et désactivez le transfert en attendant.
27 octobre 2026
Des archives malveillantes de la CLI OVHcloud volent les secrets
Les archives remplacées de cinq versions de la CLI OVHcloud ont distribué un build voleur de secrets pendant 94 minutes le 19 octobre 2026 ; renouvelez tous les secrets et installez v0.16.0.
26 octobre 2026
OpenCode : RCE lors de la connexion OAuth MCP sur Windows, corrigée dans 1.18.33
Dans OpenCode 1.0.137 à 1.18.32 sur Windows et WSL, l’URL de connexion OAuth d’un serveur MCP malveillant atteint PowerShell et exécute du code sous l’identité du développeur ; corrigé dans 1.18.33, sans CVE.
26 octobre 2026
Faille Linux KSMBD avant authentification : RCE notée CVSS 9.0 par ZDI, aucun correctif publié à ce jour (ZDI-CAN-33774)
Deux failles de KSMBD, le serveur SMB intégré au noyau Linux, sont notées CVSS 9.0 par ZDI. L’une est accessible avant authentification ; aucun noyau publié n’est corrigé et aucun identifiant CVE n’est encore attribué.
26 octobre 2026
FortiSIEM : RCE par traversée de répertoires gRPC avec une PoC publique (CVE-2026-106173)
Le service gRPC non authentifié de FortiSIEM 7.5.0 sur TCP 27918 permet d’écraser des fichiers pour exécuter du code à distance ; corrigé en 7.5.1, PoC publique, aucune exploitation connue.
26 octobre 2026
Prise de contrôle complète de Postiz par tout utilisateur inscrit (CVE-2026-115931, CVE-2026-115932, CVE-2026-115933)
Dans Postiz auto-hébergé 2.23.0 à 2.25.2, tout utilisateur inscrit peut lire les fichiers du serveur ; dans 2.15.0 à 2.25.2, il peut forger des jetons de connexion pour prendre le contrôle d'autres organisations. Corrigé dans 2.25.3.
26 octobre 2026
Pillow : RCE par injection d’arguments Ghostscript (CVE-2026-112900)
Pillow 2.6.0 à 12.3.0 transmet sans assainissement à Ghostscript un nom de fichier EPS ou PostScript contrôlé par l’attaquant, permettant une injection d’arguments et une exécution de commandes ; corrigé dans 13.0.0.
26 octobre 2026
GitLab : RCE sans authentification sur 12 ans de versions (CVE-2026-110264)
CVE-2026-110264, dépassement d’entier à 10,0, expose tout GitLab autogéré depuis 7.0 à une RCE non authentifiée ; corrigé le 21 octobre ; son jumeau est au KEV.
25 octobre 2026