Le journal DFS
Cloud & DevOps
-
Backstage : divulgation de valeurs sensibles dans les requêtes de ressources Kubernetes
P4 · Moyenne · CVE-2026-106561 — Un utilisateur authentifié ayant l’autorisation standard de lecture des ressources Kubernetes peut récupérer des valeurs sensibles que le plugin est…
-
Docker Engine : contournement de la sécurité des connexions à un registre via une réponse DNS mixte
P3 · Élevée · CVE-2026-92543 — Docker Engine peut traiter un registre comme non sécurisé si l’une des adresses IP renvoyées par son nom d’hôte appartient…
-
Backstage : mode d’authentification de cluster non pris en charge dans le backend Kubernetes
P4 · Faible · CVE-2026-106487 — Dans le backend Kubernetes de Backstage, la découverte de clusters depuis le catalogue peut conduire à l’utilisation de l’identité locale…
-
MongoDB Controllers for Kubernetes : validation insuffisante de la configuration de sauvegarde
P4 · Faible · CVE-2026-103546 — Dans MongoDB Controllers for Kubernetes, une validation insuffisante de la configuration des sauvegardes Ops Manager peut permettre à une personne…
-
Docker Buildx Bake : vérification insuffisante des autorisations de lecture de fichiers
P4 · Moyenne · CVE-2026-103433 — Docker Buildx Bake ne demande pas toujours l’autorisation attendue de lecture de fichiers pour certaines entrées du système de fichiers.…
-
External Secrets Operator : le contrôle d’étiquette du générateur webhook peut être contourné
P3 · Élevée · CVE-2026-26287 — Dans External Secrets Operator, un ordre d’initialisation incorrect du générateur `webhook` désactivait le contrôle de l’étiquette `external-secrets.io/type=webhook`, permettant à une…
-
CVE-2026-86671 — accès à des ressources internes et exposition de jetons dans Eclipse Che
P3 · Élevée · CVE-2026-86671 — Des endpoints d’Eclipse Che acceptent des URL contrôlées par l’utilisateur sans restriction suffisante, permettant notamment la lecture de fichiers locaux,…
-
CVE-2026-105223 — vérification TLS désactivée dans maclof/kubernetes-client
P3 · Critique · CVE-2026-105223 — Une erreur de traitement des kubeconfig dans le paquet PHP `maclof/kubernetes-client` peut désactiver la vérification des certificats TLS lorsque `certificate-authority-data`…
-
Nx : injection de commandes dans le pipeline de publication Docker
P3 · Élevée · CVE-2026-104859 — Dans le pipeline de publication Docker de @nx/docker, des valeurs de configuration sont intégrées à des commandes shell, ce qui…
-
Tugtainer : validation insuffisante du jeton d’identité OIDC
P3 · Élevée · CVE-2026-87004 — Dans Tugtainer, le flux de connexion OIDC utilisait les revendications du jeton d’identité sans vérifier sa signature ni valider son…