Points de terminaison non authentifiés dans le lanceur de développement Pipecat

Veille sécuritéBackend & données

P4Moyenne

Le lanceur de développement intégré à Pipecat exposait, lorsqu’il était rendu accessible à du trafic non fiable, des points de terminaison sans authentification capables de créer des sessions de bots et des salons Daily. La version 1.6.0 clarifie cette frontière de sécurité et oriente les déploiements de production vers des mécanismes authentifiés; selon les informations fournies, le comportement des points de terminaison demeure intentionnel.

IdentifiantCVE-2026-102682

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.6.0

Source : NVD — CVE-2026-102682

Analyse technique

Les routes /start, /daily et /daily-dialin-webhook sont sans authentification; l’exploitation dépend de leur exposition, alors que l’écoute par défaut est sur localhost.

Impact, versions et correctif

Événement datéPublication NVD horodatée 2026-10-14T19:17:05.550Z, soit 2026-10-14T21:17:05.550+02:00, dans la période demandée.

ImpactCréation non autorisée de sessions et consommation de ressources ou de quotas tiers; selon la configuration, divulgation d’une URL de salon et d’un jeton.

Versions affectéespipecat-ai de 0.0.98 à avant 1.6.0

Version corrigée1.6.0

ContournementNe pas exposer le lanceur de développement à des réseaux non fiables; utiliser un dispatcher authentifié ou un environnement d’exécution géré en production.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.6

Publication2026-10-14T21:17:05.550+02:00

Mise à jour2026-10-14T21:17:05.550+02:00

Action recommandée

Maintenir le lanceur lié à localhost et ne pas l’exposer sans contrôle d’accès; pour la production, suivre les recommandations vers un dispatcher authentifié ou un runtime géré.

Sources

NVD — CVE-2026-102682

Priorisation DFS : P4 · 1 source(s).