Veille sécuritéCloud & DevOps
P4Faible
Le 8 novembre 2026, une fiche CVE a signalé un risque de chaîne d’approvisionnement dans les cibles de publication Mage de Vikunja : elles récupéraient le module xgo et une image Docker à l’aide de références mutables « latest ». Si une source amont ou son registre était compromis, du code malveillant pouvait être intégré aux binaires Vikunja publiés et signés.
Docker
IdentifiantCVE-2026-123508
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifVikunja 2.7.1
Source : NVD — CVE-2026-123508
Analyse technique
Le problème concerne les références mutables utilisées par les cibles de publication Vikunja, notamment pour une image Docker ; il ne s’agit pas d’une vulnérabilité attribuée au produit Docker lui-même.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 02:16:39.140Z, soit 2026-11-08T04:16:39.140+02:00, dans la période demandée. L’avis de version Vikunja situe le correctif dans la version 2.7.1, publiée antérieurement.
ImpactUn compromis des dépendances ou du registre utilisés lors de la publication pouvait entraîner l’injection de code dans les binaires Vikunja distribués sous signature.
Versions affectéesVikunja antérieur à 2.7.1
Version corrigéeVikunja 2.7.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2
EPSS0,09% · percentile 0,5%
Publication2026-11-08T04:16:39.140+02:00
Mise à jour2026-11-08T04:16:39.263+02:00
Action recommandée
Utiliser Vikunja 2.7.1 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).