Veille sécuritéBackend & données
P3Élevée
Avant aeon 1.5.0, un workflow GitHub Actions utilisant `pull_request_target` exécutait du code provenant de demandes de fusion de forks dans un contexte privilégié, avec un risque d’exposition de jetons et d’écriture dans le dépôt. Mettre à jour vers 1.5.0, qui corrige le workflow vulnérable.
Python
IdentifiantCVE-2026-65820
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.5.0
Source : NVD — CVE-2026-65820
Analyse technique
Le workflow de vérification pre-commit lié à pull_request_target pouvait exécuter du code contrôlé par un fork avec des privilèges élevés et des identifiants permettant des modifications du dépôt.
Impact, versions et correctif
Événement datéPublication de la vulnérabilité le 2026-11-11T18:19:47.940Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement de cette période.
ImpactUne demande de fusion malveillante depuis un fork pouvait exposer des identifiants privilégiés et offrir une possibilité d’écriture dans le dépôt.
Versions affectéesaeon < 1.5.0
Version corrigée1.5.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-11T18:19:47.940Z
Action recommandée
Mettre aeon à jour vers la version 1.5.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).