Le journal DFS
Cloud & DevOps
-
Paquet npm malveillant eslint-config-compact-utils : exfiltration de métadonnées CI GitHub
P3 · Élevée — Le paquet npm eslint-config-compact-utils 1.0.2 est signalé comme malveillant. Dès son import, il collecte des informations de l’hôte et des variables CI/référentiel,…
-
Paquet PyPI malveillant auclean : collecte et exfiltration de credentials cloud
P3 · Élevée — Le paquet PyPI auclean est identifié comme malveillant dans la campagne 2026-09-auclean. À l’installation, il exécute un binaire embarqué, cartographie l’environnement et…
-
Paquet npm malveillant n8n-nodes-metricsagent : backdoor RCE et reconnaissance Docker
P2 · Critique — Le paquet npm n8n-nodes-metricsagent 1.0.0 est signalé comme malveillant. Son installation ou son chargement ouvre un service HTTP non authentifié exposé sur…
-
GHSA-xvhj-gvc7-m4xf : starlette-healthcheck exfiltre la topologie des secrets vers Azure Container Apps
P3 · Élevée — L’advisory relatif à starlette-healthcheck a été substantiellement mis à jour dans la fenêtre. Les versions identifiées du paquet PyPI se présentent comme…
-
GHSA-g4jv-48fc-mhh2 : @uh-platform/cloud mène une reconnaissance de dépendance-confusion à l’installation
P3 · Élevée — Le paquet npm @uh-platform/cloud@101.0.0 contient un script preinstall qui transmet le nom d’hôte de la machine d’installation vers un collecteur externe. L’advisory…
-
GHSA-7gq6-vvhp-97f4 : canary-mcp-isolation sonde l’IMDS GCP et exfiltre ses réponses
P3 · Élevée — L’avis du paquet npm malveillant @yongot/canary-mcp-isolation a été substantiellement mis à jour dans la fenêtre. Le paquet transmet des informations d’hôte à…
-
CVE-2026-73551 : des segments ../ avec paramètres contournent la normalisation de chemin d’Envoy
P4 · Moyenne · CVE-2026-73551 — Envoy ne normalisait pas les segments . et .. portant des paramètres de chemin, ce qui peut créer une confusion…
-
CVE-2026-73511 : confusion de routage Envoy avec paramètres matrix et backends servlet
P4 · Moyenne · CVE-2026-73511 — Une divergence entre le traitement des paramètres de chemin par Envoy et certains backends servlet peut permettre de sélectionner une…
-
CVE-2026-62370 : KubeEdge CloudHub exposé à un déni de service par allocation mémoire non bornée
P4 · Moyenne · CVE-2026-62370 — KubeEdge CloudHub peut allouer une quantité excessive de mémoire à partir d’une longueur de charge utile contrôlée par un pair…
-
GHSA-jhjp-4c2q-xmx4 : les règles k8saudit ne détectent pas les conteneurs privilégiés init et éphémères
P4 · Moyenne — L’advisory GHSA-jhjp-4c2q-xmx4 documente un contournement de détection dans les règles livrées avec le plugin Falco k8saudit. Les réglages de sécurité placés dans…