Veille sécuritéBackend & données
P3Critique
Dans le déploiement décrit, CoPilot permettait à un utilisateur client de déposer ou remplacer des modèles de rapport Jinja ensuite rendus sans sandbox par des utilisateurs privilégiés. Le correctif est annoncé en version 0.1.76 ; limiter les dépôts de modèles et mettre à jour le produit sont les mesures indiquées par les informations disponibles.
Python
IdentifiantCVE-2026-61707
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.1.76
Source : NVD — CVE-2026-61707
Analyse technique
Les modèles partagés n’étaient pas cloisonnés par client et leur contenu n’était pas validé ; le rendu Jinja non sandboxé pouvait exécuter du code côté serveur.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-29T22:17:05.603Z, soit le 2026-10-30T00:17:05.603+02:00, dans la période demandée.
ImpactExécution de code côté serveur lors du rendu d’un rapport ; le déploiement décrit expose également des données et secrets accessibles au serveur.
Versions affectéesSOCFortress CoPilot versions antérieures à 0.1.76
Version corrigée0.1.76
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9
EPSS0,24% · percentile 14,4%
Publication2026-10-30T00:17:05.603+02:00
Mise à jour2026-10-30T19:13:54.187+02:00
Action recommandée
Mettre à jour CoPilot vers la version 0.1.76 ou ultérieure et restreindre le dépôt de modèles de rapport.
Sources
Priorisation DFS : P3 · 1 source(s).