Le journal DFS
Cloud & DevOps
-
CVE-2026-73546 : XSS stockée dans la page de statistiques HTML d’Envoy
P3 · Élevée · CVE-2026-73546 — L’endpoint d’administration /stats?format=html d’Envoy n’encodait pas les noms de statistiques, ce qui peut conduire à une XSS stockée dans l’interface…
-
CVE-2026-73553 : contournement RBAC d’Envoy avec ignore_path_parameters_in_path_matching
P3 · Élevée · CVE-2026-73553 — Lorsque ignore_path_parameters_in_path_matching est activé, Envoy appliquait une normalisation différente au routeur et au filtre RBAC, permettant de contourner certaines règles…
-
CVE-2026-55563 : GitHub Actions de Feast expose des secrets cloud aux forks approuvés
P3 · Élevée · CVE-2026-55563 — Le workflow d’intégration de Feast exécutait du code contrôlé par un fork avec le contexte privilégié pull_request_target et des secrets…
-
Mailu : contournement d’authentification proxy via X-Forwarded-By (CVE-2026-85751)
P2 · Critique · CVE-2026-85751 — Mailu corrige un contournement d’authentification à distance dans les déploiements utilisant PROXY_AUTH_WHITELIST sans REAL_IP_HEADER configuré. Un client peut usurper l’identité…
-
CRI-O : contournement du contexte de sécurité lors de la restauration d’un point de contrôle
P3 · Élevée · CVE-2026-92574 — Une faille de restauration de points de contrôle dans CRI-O peut permettre à un utilisateur autorisé à créer un pod…
-
CVE-2026-15801 : CRI-O — opérations non prévues sur le système de fichiers hôte lors de la restauration d’un checkpoint
P3 · Élevée · CVE-2026-15801 — Une validation insuffisante des métadonnées de restauration dans la fonctionnalité de checkpoint/restore de CRI-O peut permettre des opérations non prévues…
-
Paquets npm malveillants exécutant du code distant dans le processus Node.js
P3 · Élevée — Les paquets chai-as-viem et chai-testing transmettent des informations d’environnement à une infrastructure distante puis exécutent dans le processus Node.js le code renvoyé…
-
Paquets npm malveillants ciblant les identifiants AWS et les métadonnées d’instances cloud
P3 · Élevée — Plusieurs paquets npm malveillants publiés ou mis à jour dans la fenêtre exécutent du code automatiquement à l’installation afin d’interroger le service…
-
Paquets npm malveillants exfiltrant des secrets de runners et configurations Docker/CI
P3 · Élevée — Une série de paquets npm malveillants utilise des hooks d’installation pour inventorier les variables d’environnement et des fichiers locaux susceptibles de contenir…
-
GHSA-hwx5-436m-736q : @dbbhk/ui-components vole des secrets AWS, ECS, Kubernetes et CI à l’installation
P2 · Critique — Le paquet npm malveillant @dbbhk/ui-components@99.0.0 exécute automatiquement un script avant et après installation. Il cible les identifiants cloud, les secrets d’environnement et…