Les failles de sécurité, en français.

Chaque faille publique (CVE) d'un logiciel web est relevée ici dès sa publication, avec son avis traduit en français, les versions touchées et la version corrigée. Celles qui touchent une technologie que webgune sait déployer sont signalées.

437 failles

Élevée7.5CVE-2026-1166902026(e)ko urriaren 27(a)
MLflow vulnérable à la lecture de fichiers arbitraires sur les serveurs non authentifiés via la source de version de modèle prompt
Sur les serveurs de suivi MLflow fonctionnant sans authentification, ce qui est la valeur par défaut pour mlflow server, un attaquant à distance peut lire des fichiers arbitraires du système de fichiers du serveur en créant une version de …
mlflow
Moyenne6.5CVE-2026-1166912026(e)ko urriaren 27(a)
MLflow CrewAI autologging enregistre les clés API du fournisseur de LLM dans les spans de trace enregistrés
mlflow.crewai.autolog() communique les clés API du fournisseur de LLM CrewAI dans la télémétrie de trace MLflow. Lorsqu'un Agent CrewAI est instrumenté avec l'autologging MLflow, MLflow sérialise le dict de l'agent et convertit ses champs …
mlflow
Critique9.8CVE-2026-1166922026(e)ko urriaren 27(a)
MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules
MLflow 3.12.0 a introduit la prise en charge de l'enregistrement et de la désérialisation de scoreurs tiers dans MLflow OSS. Lors de la désérialisation d'un scoreur, le serveur accepte un chemin de module Python contrôlé par la requête sou…
mlflow
Élevée8.7CVE-2026-1166932026(e)ko urriaren 27(a)
dd-trace : ReDOS dans l'obscurcissement des chaînes de requête URL
Une expression régulière utilisée pour obscurcir les chaînes de requête URL peut consommer un CPU excessif lors du traitement de certaines entrées contrôlées par un attaquant. Cela peut bloquer le traitement des requêtes et causer un déni …
dd-trace
Élevée8.5CVE-2026-1166752026(e)ko urriaren 27(a)
Vulnérabilité de type Cross-Site Scripting (XSS) dans TinyMCE utilisant le plugin media avec sérialisation `data-mce-object`
Vulnérabilité XSS stockée dans le plugin media. Les attaquants peuvent injecter des scripts malveillants via des éléments créés à travers l'attribut data-mce-object, qui sont créés et exécutés avant la sanitisation. Cela impacte les utilis…
tinymce · TinyMCE · tinymce/tinymce
Moyenne6.8CVE-2026-1166842026(e)ko urriaren 27(a)
Model Context Protocol Python SDK : l'authentification par jeton serveur accepte les jetons émis pour un serveur de ressources différent
Dans les versions affectées, l'authentification par jeton côté serveur du SDK n'avait aucun moyen de vérifier qu'un jeton avait été émis pour votre serveur (son public). Lorsqu'un serveur d'autorisation émet des jetons pour plusieurs servi…
mcp
Moyenne6.3CVE-2026-1166942026(e)ko urriaren 27(a)
OpenTelemetry Python : Allocation de mémoire non bornée dans la propagation des bagages Jaeger
JaegerPropagator.extract() dans opentelemetry-propagator-jaeger n'imposait pas de limites lors de l'extraction des en-têtes de bagages entrants uberctx-. Des bagages contrôlés par un attaquant pourraient causer un travail CPU inutile et de…
opentelemetry-propagator-jaeger
Moyenne5.9CVE-2026-1166852026(e)ko urriaren 27(a)
SDK Python du Model Context Protocol : les transports de client HTTP suivaient les redirections cross-origin avec des en-têtes et corps personnalisés
Dans les versions affectées, les transports de client Streamable HTTP et SSE du SDK suivaient les redirections HTTP vers n'importe quel hôte. Si le point de terminaison MCP configuré répondait par une redirection vers une origine différent…
mcp
Moyenne6.5CVE-2026-1166862026(e)ko urriaren 27(a)
SDK Python Model Context Protocol : Le client a extrait des URLs $ref choisies par le serveur lors de la validation des résultats d'outils par rapport aux schémas de sortie
Dans les versions affectées, lorsqu'un serveur MCP connecté déclarait un outputSchema pour un outil, le client du SDK validait chaque résultat de calltool avec le solveur par défaut de jsonschema, qui extrait tout $ref qu'il ne peut pas ré…
mcp
Faible3.1CVE-2026-1166872026(e)ko urriaren 27(a)
CKEditor : Script inter-site (XSS) dans le package du moteur
Une vulnérabilité de type Script inter-site (XSS) a été découverte dans le moteur CKEditor 5. Cette vulnérabilité peut être déclenchée en insérant un balisage spécialement conçu sous une configuration spécifique du General HTML Support qui…
ckeditor5 · @ckeditor/ckeditor5-engine
Élevée8.1CVE-2026-1166882026(e)ko urriaren 27(a)
CKEditor : Script inter-site (XSS) dans le package du moteur
Une vulnérabilité de type Script inter-site (XSS) a été découverte dans le moteur CKEditor 5. Cette vulnérabilité est causée par un problème de pollution de prototype dans la bibliothèque es-toolkit utilisée dans la base de code de CKEdito…
ckeditor5 · @ckeditor/ckeditor5-engine
Moyenne5.4CVE-2026-1166792026(e)ko urriaren 27(a)
Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées
Lorsque le mode legacy est activé et que session.implicithosting est activé, le canal de données WebRTC legacy autorise incorrectement les événements d'entrée en raison d'une erreur logique dans LegacyIsHost(). En conséquence, un membre au…
github.com/m1k1o/neko/server
Élevée8.8CVE-2026-1166762026(e)ko urriaren 27(a)
Atlantis : injection de commande OS via l'espace Terraform contrôlé par PR permet l'exécution de code à distance lors du plan
Atlantis passe la valeur workspace Terraform provenant du fichier atlantis.yaml d'une pull request dans une commande shell sans la citer ou l'échapper. Un contributeur dont la pull request est éligible pour un plan Atlantis peut inclure de…
github.com/runatlantis/atlantis
Élevée8.6CVE-2026-1166822026(e)ko urriaren 27(a)
FileBrowser : le suivi des liens symboliques échappe à la portée de l'utilisateur permettant la lecture de fichiers arbitraires en dehors du répertoire desservi
Les chemins de lecture de fichiers résolvent les liens symboliques avec filepath.EvalSymlinks puis opèrent sur la cible résolue sans vérifier à nouveau que cette cible se trouve encore dans la source/portée de l'utilisateur. Un lien symbol…
github.com/gtsteffaniak/filebrowser/backend
Élevée7.4CVE-2026-1098292026(e)ko urriaren 27(a)
undici vulnérable à la contamination du cache et à la divulgation inter-utilisateur via des redirections cross-origin
Lorsqu'un Agent sans origine compose les intercepteurs de redirection et de cache comme compose(redirect(), cache()) avec un cache partagé (type: 'shared'), le cache construit sa clé à partir de l'URL de la demande initiale avant que le ge…
undici
Élevée7.4CVE-2026-1093832026(e)ko urriaren 27(a)
undici vulnérable à la contournement de validation du certificat TLS via des options TLS abandonnées dans Agent
L'Agent d'undici transmet ses options de constructeur à chaque Pool par origine via un clonage profond basé sur JSON (JSON.parse(JSON.stringify(...))). JSON ne pouvant pas représenté de fonctions, une option tls fournie par l'appelant cont…
undici
Élevée7.5CVE-2026-870182026(e)ko urriaren 27(a)
undici vulnérable à un déni de service via une renegotiation de certificat TLS 1.2 changeante
undici provoque le crash du processus client lorsqu'un serveur TLS 1.2 négocie à nouveau après que la connexion a été établie et présente un certificat différent, approuvé par une CA, dont le nom d'hôte ne correspond pas à l'hôte demandé. …
undici
Moyenne5.9CVE-2026-1099322026(e)ko urriaren 27(a)
Client WebSocket d'undici vulnérable à un déni de service via une mise en tampon automatique PONG illimitée
Le client WebSocket d'undici (y compris le globalThis.WebSocket livré avec Node.js) peut être conduit à épuiser la mémoire du processus par un serveur WebSocket malveillant ou compromis. Pour chaque trame PING reçue, le récepteur écrit aut…
undici
Moyenne5.9CVE-2026-870292026(e)ko urriaren 27(a)
undici vulnérable à un déni de service via une exception non gérée dans l'intercepteur decompress
L'intercepteur decompress d'undici transmet les données de réponse décompressées au gestionnaire en aval à partir des rappels d'événements de flux zlib sans attraper les exceptions que ces rappels peuvent lever. Le moteur d'undici converti…
undici
Élevée8.7CVE-2026-1094132026(e)ko urriaren 27(a)
Symfony : Une récursion non bornée dans le Lexer Inline YAML permet à un seul document de faire planter le processus
Yaml\Parser::lexInlineStructure() récursait à travers lexInlineMapping() et lexInlineSequence() pour chaque { et [ d'une collection inline, sans entrer dans le niveau d'imbrication que le reste du parser limite avec maxNestingLevel. Un doc…
symfony/symfony · symfony/yaml

Les failles de sécurité, en français.

MLflow vulnérable à la lecture de fichiers arbitraires sur les serveurs non authentifiés via la source de version de modèle prompt

MLflow CrewAI autologging enregistre les clés API du fournisseur de LLM dans les spans de trace enregistrés

MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules

dd-trace : ReDOS dans l'obscurcissement des chaînes de requête URL

Vulnérabilité de type Cross-Site Scripting (XSS) dans TinyMCE utilisant le plugin media avec sérialisation `data-mce-object`

Model Context Protocol Python SDK : l'authentification par jeton serveur accepte les jetons émis pour un serveur de ressources différent

OpenTelemetry Python : Allocation de mémoire non bornée dans la propagation des bagages Jaeger

SDK Python du Model Context Protocol : les transports de client HTTP suivaient les redirections cross-origin avec des en-têtes et corps personnalisés

SDK Python Model Context Protocol : Le client a extrait des URLs $ref choisies par le serveur lors de la validation des résultats d'outils par rapport aux schémas de sortie

CKEditor : Script inter-site (XSS) dans le package du moteur

CKEditor : Script inter-site (XSS) dans le package du moteur

Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées

Atlantis : injection de commande OS via l'espace Terraform contrôlé par PR permet l'exécution de code à distance lors du plan

FileBrowser : le suivi des liens symboliques échappe à la portée de l'utilisateur permettant la lecture de fichiers arbitraires en dehors du répertoire desservi

undici vulnérable à la contamination du cache et à la divulgation inter-utilisateur via des redirections cross-origin

undici vulnérable à la contournement de validation du certificat TLS via des options TLS abandonnées dans Agent

undici vulnérable à un déni de service via une renegotiation de certificat TLS 1.2 changeante

Client WebSocket d'undici vulnérable à un déni de service via une mise en tampon automatique PONG illimitée

undici vulnérable à un déni de service via une exception non gérée dans l'intercepteur decompress

Symfony : Une récursion non bornée dans le Lexer Inline YAML permet à un seul document de faire planter le processus

Questions fréquentes

Les failles de sécurité, en français.

MLflow vulnérable à la lecture de fichiers arbitraires sur les serveurs non authentifiés via la source de version de modèle prompt

MLflow CrewAI autologging enregistre les clés API du fournisseur de LLM dans les spans de trace enregistrés

MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules

dd-trace : ReDOS dans l'obscurcissement des chaînes de requête URL

Vulnérabilité de type Cross-Site Scripting (XSS) dans TinyMCE utilisant le plugin media avec sérialisation `data-mce-object`

Model Context Protocol Python SDK : l'authentification par jeton serveur accepte les jetons émis pour un serveur de ressources différent

OpenTelemetry Python : Allocation de mémoire non bornée dans la propagation des bagages Jaeger

SDK Python du Model Context Protocol : les transports de client HTTP suivaient les redirections cross-origin avec des en-têtes et corps personnalisés

SDK Python Model Context Protocol : Le client a extrait des URLs $ref choisies par le serveur lors de la validation des résultats d'outils par rapport aux schémas de sortie

CKEditor : Script inter-site (XSS) dans le package du moteur

CKEditor : Script inter-site (XSS) dans le package du moteur

Neko : Contournement d'autorisation dans la gestion des entrées WebRTC héritées

Atlantis : injection de commande OS via l'espace Terraform contrôlé par PR permet l'exécution de code à distance lors du plan

FileBrowser : le suivi des liens symboliques échappe à la portée de l'utilisateur permettant la lecture de fichiers arbitraires en dehors du répertoire desservi

undici vulnérable à la contamination du cache et à la divulgation inter-utilisateur via des redirections cross-origin

undici vulnérable à la contournement de validation du certificat TLS via des options TLS abandonnées dans Agent

undici vulnérable à un déni de service via une renegotiation de certificat TLS 1.2 changeante

Client WebSocket d'undici vulnérable à un déni de service via une mise en tampon automatique PONG illimitée

undici vulnérable à un déni de service via une exception non gérée dans l'intercepteur decompress

Symfony : Une récursion non bornée dans le Lexer Inline YAML permet à un seul document de faire planter le processus

Questions fréquentes