Le journal DFS
Cloud & DevOps
-
KEDA : divulgation possible du jeton de l’opérateur vers un endpoint Vault contrôlé
P3 · Critique · CVE-2026-77524 — KEDA jusqu’à la version 2.20.2 peut transmettre le jeton ServiceAccount de l’opérateur à un endpoint Vault contrôlé par un administrateur…
-
CVE-2026-86002 : exécution de commandes arbitraires via Dokku
P3 · Critique · CVE-2026-86002 — Dans Dokku avant 0.38.25, un utilisateur disposant d’un accès au niveau d’une application et d’un accès SSH permettant d’exécuter les…
-
GitLab : fuite possible de jetons via le proxy Kubernetes
P4 · Moyenne · CVE-2026-7767 — Une validation insuffisante des redirections dans le proxy Kubernetes de GitLab pouvait, sous certaines conditions, permettre à un utilisateur authentifié…
-
FrankenPHP : exposition de phpinfo() dans certaines images Docker dérivées
P4 · Moyenne · CVE-2026-85733 — Avant FrankenPHP 1.12.5, les images Docker Debian et Alpine officielles contiennent un fichier /app/public/index.php par défaut qui exécute phpinfo(). Si…
-
Docker Distribution : absence de vérification du digest des manifestes
P4 · Moyenne · CVE-2026-85747 — Le client de Docker Distribution ne vérifiait pas que le contenu d’un manifeste reçu correspondait au digest demandé, ce qui…
-
NVIDIA AIStore : contrôle d’accès manquant dans l’API de gestion ETL
P3 · Élevée · CVE-2026-65172 — Une absence de contrôle d’autorisation dans l’API de gestion ETL d’AIStore pouvait permettre à un attaquant distant non authentifié d’accéder…
-
Argo CD : contournement des restrictions AppProject par les hooks de suppression
P3 · Critique · CVE-2026-77459 — Argo CD n’appliquait pas les contrôles d’autorisation AppProject aux hooks de ressources PostDelete, contrairement aux hooks de synchronisation ordinaires. Un…
-
NVIDIA AIStore : paramètres Kubernetes dangereux dans l’API ETL legacy
P3 · Critique · CVE-2026-65162 — Une vulnérabilité dans l’ancienne API d’initialisation de PodSpec Kubernetes d’AIStore ETL permettait à un attaquant distant de fournir des paramètres…
-
Docker Hub : transfert non autorisé de PAT lors d’une conversion de compte
P3 · Critique · CVE-2026-105445 — Une faille de mauvaise attribution de privilèges dans la conversion d’un compte Docker Hub en organisation pouvait transférer un jeton…
-
IBM Maximo Location Service for Esri : validation inadéquate de la configuration d’image
P4 · Moyenne · CVE-2026-18533 — CVE-2026-18533 concerne une validation inadéquate des entrées dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri,…