Le journal DFS
Cloud & DevOps
-
Docker MCP Gateway : contournement de la frontière de confiance lors de la création de conteneurs
P3 · Élevée · CVE-2026-55887 — CVE-2026-55887 concerne Docker MCP Gateway, qui avant la version 0.42.2 pouvait appliquer des paramètres d’exécution contrôlés par l’auteur d’une image…
-
Tugtainer : SSRF via le test des notifications
P3 · Critique · CVE-2026-62308 — Tugtainer permet à un utilisateur authentifié d’utiliser le point de terminaison de test des notifications pour faire émettre au serveur…
-
Obot : démarrage rapide Docker exposé sans authentification
P3 · Critique · CVE-2026-101065 — CVE-2026-101065 concerne la configuration de démarrage Docker documentée pour Obot, qui exposait le service sur toutes les interfaces avec l’authentification…
-
Webhook Git de Fleet accepte des requêtes non authentifiées sans secret configuré
P4 · Moyenne · CVE-2026-93539 — Lorsque aucun secret de webhook n’est configuré, le service webhook Git de Fleet accepte des requêtes sans vérification; un appelant…
-
Lecture de fichiers et divulgation de données dans Rancher Fleet
P4 · Moyenne · CVE-2026-93537 — Une vulnérabilité de Fleet permet à un utilisateur pouvant fournir le contenu d’un dépôt référencé par une ressource GitRepo de…
-
Traversée de chemin via kubectl cp sous Windows
P4 · Moyenne · CVE-2026-19444 — Une vulnérabilité de traversée de chemin dans `kubectl cp` sous Windows peut permettre à un contenu malveillant provenant d’un conteneur…
-
CVE-2026-79767 : Gardener permet à un administrateur de projet d’élargir indûment les accès Kubernetes
P3 · Moyenne · CVE-2026-79767 — Le plugin d’admission customverbauthorizer de Gardener peut laisser un administrateur de projet sans droit manage-members ajouter des sujets Group ou…
-
Paquet PyPI malveillant auclean : exécution à l’installation et vol de credentials cloud
P3 · Élevée — Les versions 0.4.2 à 0.4.4 du paquet PyPI auclean exécutent un binaire malveillant pendant l’installation, avec collecte ciblant notamment des identifiants et…
-
Paquet npm malveillant n8n-nodes-metricsagent : backdoor RCE exposée sur le port 41111
P2 · Critique — Le paquet npm n8n-nodes-metricsagent 1.0.0 est signalé comme malveillant : son installation déploie un serveur HTTP sans authentification permettant l’exécution de commandes.
-
CVE-2026-77285 : OpenBao Agent peut écrire des secrets dans stdout en cas d’échec de rendu exec
P4 · Faible · CVE-2026-77285 — Dans certaines conditions d’erreur du mode exec, OpenBao Agent peut écrire dans stdout des secrets issus de env_template, notamment lorsque…