Veille sécuritéBackend & données
P4Moyenne
L’outil fast-agent serve exposait par défaut un serveur HTTP sans authentification sur toutes les interfaces; avec l’option –shell, un client distant pouvait faire exécuter des commandes sur l’hôte. Mettre à niveau fast-agent-mcp vers 0.7.21 ou ultérieur; à défaut, ne pas exposer ce serveur sans authentification et limiter son écoute à une interface locale.
Python
IdentifiantCVE-2026-102610
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.7.21
Source : GitHub Advisory GHSA-9vhv-g5hf-m7m7
Analyse technique
Le serveur HTTP MCP est lié par défaut à 0.0.0.0 sur le port 8000; l’exécution de commandes dépend de l’activation de –shell.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-11-09T22:01:34Z, soit le 2026-11-10 à 00:01:34+02:00, dans la période retenue.
ImpactUn client non authentifié pouvant joindre le serveur peut utiliser les outils exposés; avec –shell, il peut exécuter des commandes sur l’hôte.
Versions affectéesfast-agent-mcp jusqu’à 0.7.20 incluse
Version corrigée0.7.21
ContournementNe pas exposer le serveur sans authentification; limiter l’écoute à localhost si l’exposition réseau n’est pas nécessaire.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,29% · percentile 21,9%
Publication2026-11-09T22:01:34Z
Mise à jour2026-11-09T22:01:37Z
Action recommandée
Mettre à niveau fast-agent-mcp vers 0.7.21 ou ultérieur et éviter toute exposition réseau sans authentification.
Sources
Priorisation DFS : P4 · 1 source(s).