#supply-chain

Analyse approfondie

Un acteur malveillant a détourné le pipeline de publication de LiteLLM avec une clé maîtresse divulguée et jamais révoquée, puis publié une version 1.107.0 malveillante sur PyPI et Docker le 21 octobre 2026. Le wheel installe des fichiers de démarrage Python qui volent les identifiants et activent une porte dérobée toutes les heures, même si LiteLLM n’est jamais importé. PyPI a mis la version en quarantaine après 1 heure et 44 minutes ; toute personne l’ayant installée doit reconstruire l’environnement et renouveler tous les secrets accessibles.

Sécurité

E.V.A Information Security a découvert des vulnérabilités critiques dans CocoaPods, ce qui a conduit à des correctifs immédiats ; les développeurs doivent désormais supprimer les packages non revendiqués, vérifier leurs dépendances et scanner leurs applications pour garantir leur sécurité.

Sécurité

Cet article présente les vulnérabilités de dependency confusion, introduit une technique inédite de détection et d'exploitation, puis propose des mesures concrètes pour atténuer les risques liés à cette vulnérabilité.