Catégorie
Analyse approfondie
Analyses approfondies des vulnérabilités récemment publiées : qui est concerné, comment corriger, et comment fonctionne la faille.
LiteLLM 1.107.0 malveillant vole les identifiants et installe des portes dérobées sur les hôtes
Un acteur malveillant a détourné le pipeline de publication de LiteLLM avec une clé maîtresse divulguée et jamais révoquée, puis publié une version 1.107.0 malveillante sur PyPI et Docker le 21 octobre 2026. Le wheel installe des fichiers de démarrage Python qui volent les identifiants et activent une porte dérobée toutes les heures, même si LiteLLM n’est jamais importé. PyPI a mis la version en quarantaine après 1 heure et 44 minutes ; toute personne l’ayant installée doit reconstruire l’environnement et renouveler tous les secrets accessibles.
25 octobre 2026
PHP2Shell : une faille RCE dans PHP déclenche des millions de tentatives d'exploitation (CVE-2026-109618)
La CISA a ajouté les deux failles PHP2Shell à son catalogue Known Exploited Vulnerabilities le 26...
25 octobre 2026
Contournement de l’authentification du proxy WebSocket d’Echo (GHSA-cxf3-9h37-7rr8)
Les passages à WebSocket refusés via le middleware Proxy d’Echo laissent un tunnel brut ouvert ve...
24 octobre 2026
Contournement de l’authentification du garde par jeton de Laravel (CVE-2026-114509)
Laravel classe CVE-2026-114509 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut ...
24 octobre 2026
Autres articles de la catégorie Analyse approfondie
Pillow FlashPix : RCE par dépassement de tampon sur le tas (CVE-2026-112398)
Le décodage d’une image FlashPix spécialement conçue dans Pillow 12.3.0 ou antérieur, avec olefile installé, permet à un attaquant d’exécuter des commandes ; Pillow 13.0.0 corrige CVE-2026-112398.
24 octobre 2026
Collabora CODE Server : RCE exploitée en conditions réelles (CVE-2026-110447)
Collabora classe CVE-2026-110447 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut exécuter des commandes du système d’exploitation sous l’identité du serveur web via proxy.php de l’application Collabora Online Built-in CODE Server (richdocumentscode) pour Nextcloud, dans les versions antérieures à 26.4.303, lorsque le serveur CODE intégré est arrêté. Corrigé dans la version 26.4.303 de l’application. CISA l’a ajoutée au catalogue KEV le 23 octobre 2026, et des administrateurs signalent des attaques depuis la mi-septembre 2026.
24 octobre 2026
Contournement du middleware par le SDK Sentry Next.js (CVE-2026-114139)
Sentry classe CVE-2026-114139 comme critique, CVSS v4.0 9.1 : sur les builds webpack, le SDK @sentry/nextjs ignore le middleware applicatif pour tous les chemins sous un tunnelRoute configuré, alors que la réécriture du tunnel ne traite que son chemin exact. Une requête non authentifiée peut donc atteindre une route sous le tunnel sans autorisation par le middleware. Sont affectés @sentry/nextjs de 9.36.0 à 9.47.1, les versions 10.x antérieures à 10.75.2 et les préversions 11.0.0 antérieures à 11.0.0-rc.1. Corrigé dans 9.47.2, 10.75.2 et 11.0.0-rc.1 ; aucune exploitation réelle n’est connue.
24 octobre 2026
Évasion du bac à sable Wasmtime par compilation incorrecte (CVE-2026-115889)
CVE-2026-115889 est une évasion critique du bac à sable Wasmtime : Cranelift compacte des indices dans des champs de 24 bits qu'un module conçu pour l'attaque fait déborder. Corrigée dans 36.0.19 et 43.0.0.
24 octobre 2026
GHSA-2464-fhr4-w9xw (CVE-2026-96889) : RCE non authentifiée dans l'optimisation d'images Next.js
Vercel classe GHSA-2464-fhr4-w9xw comme critique, CVSS v4.0 9.5 : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 10.0.0–15.5.27 ou 16.0.0–16.4.0 dont l'API d'optimisation d'images traite des SVG sous Linux avec glibc. La faille est une utilisation après libération dans librsvg (CVE-2026-96889), embarqué dans les binaires précompilés de sharp. Next.js 15.5.28 et 16.4.1 la corrigent sous Node.js 20.9.0 ou ultérieur en résolvant sharp 0.35.5, qui embarque librsvg 2.63.2 corrigé.
23 octobre 2026
GHSA-673q-mjm6-r5xr : RCE sans authentification dans les fonctions « use cache » de Next.js
GHSA-673q-mjm6-r5xr est classée critique, CVSS v4.0 9.5, dans la GitHub Advisory Database : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 16 utilisant App Router avec Cache Components et une fonction use cache renvoyant plusieurs tableaux typés. L’examen de la base classe la faille comme une désérialisation de données non fiables (CWE-502) dans le protocole de transport React Server Components embarqué par Next.js. Corrigé dans Next.js 16.4.1, sans solution de contournement disponible.
23 octobre 2026
GHSA-cg2g-xh64-v4q7 : contournement de SAFE_FOR_TEMPLATES dans les racines shadow de DOMPurify
DOMPurify 3.4.4–3.4.16 laisse des expressions ${...} fragmentées survivre à SAFE_FOR_TEMPLATES dans les racines shadow attachées (critique, CVSS v4.0 9.2). Mettez à jour vers 3.4.17.
23 octobre 2026