Le journal DFS
Cloud & DevOps
-
Crawl4AI : déni de service via des délais non plafonnés dans l’API Docker
P3 · Élevée · CVE-2026-119119 — Dans l’API Docker de Crawl4AI, des valeurs non plafonnées dans certains champs de délai peuvent maintenir des pages navigateur occupées…
-
Avis CERT-FR : multiples vulnérabilités dans Docker Desktop
P4 — Le CERT-FR signale de multiples vulnérabilités dans Docker Desktop susceptibles de porter atteinte à la confidentialité des données et de contourner la politique de…
-
Docker Desktop : exposition de clés API et jetons OAuth dans les journaux
P4 · Moyenne · CVE-2026-114409 — Docker Desktop pouvait enregistrer en clair des clés d’API tierces et des jetons d’accès OAuth dans les journaux locaux et…
-
consul-k8s : contournement d’autorisation inter-espaces de noms
P3 · Critique · CVE-2026-110720 — Une vulnérabilité de contournement d’autorisation inter-espaces de noms dans les règles de liaison ACL de composants consul-k8s peut permettre d’obtenir…
-
Burrito : événements webhook non signés pouvant déclencher des plans Terraform non autorisés
P3 · Critique · CVE-2026-102649 — Burrito acceptait des événements GitHub et GitLab non signés lorsque le secret webhook était absent ou vide, permettant de créer…
-
Apple Container : exécution d’un plugin malveillant via le kubeconfig
P4 · CVE-2026-113951 — Un attaquant capable d’écrire dans le système de fichiers d’un conteneur Apple Container peut modifier le kubeconfig pour y placer un plugin…
-
Exécution de code à distance dans @rog0x/mcp-docker-tools
P3 · Élevée · CVE-2026-106765 — Une vulnérabilité dans `@rog0x/mcp-docker-tools` 1.0.1 permet l’exécution de code à distance via `handleImageList`. L’avis consulté ne précise ni version corrigée…
-
OpenBao : renouvellement possible de jetons après révocation du compte de service Kubernetes
P4 · Moyenne · CVE-2026-115356 — Lors du renouvellement d’un jeton émis par la méthode d’authentification Kubernetes, OpenBao ne revérifie pas que le jeton de compte…
-
Traefik : usurpation d’identité mTLS via des en-têtes HTTP
P3 · Élevée · CVE-2026-114640 — Le routeur HTTP en clair du fournisseur Kubernetes Ingress NGINX peut transmettre des en-têtes `Ssl-Client-*` fournis par le client. Lorsque…
-
Traefik : confusion de CA client dans le fournisseur Kubernetes Ingress NGINX
P3 · Élevée · CVE-2026-114638 — Dans le fournisseur Kubernetes Ingress NGINX de Traefik, des noms de secrets d’autorités de certification client qui deviennent identiques après…