Veille sécuritéBackend & données
P3Critique
L’avis GitHub signale du code malveillant dans qzc690385, versions 1.0.0 à 1.1.3, notamment un serveur réseau installé en arrière-plan et des interactions avec une API Xinference locale. Les versions signalées sont à éviter; si le paquet a été installé, le retirer et enquêter sur l’hôte.
Python
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
Le script d’installation lance un serveur HTTP de commande et adresse des requêtes à une API Xinference locale; l’avis décrit aussi de la collecte de renseignements sur l’hôte.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication à 2026-11-07T12:31:46Z, soit 2026-11-07T14:31:46+02:00, dans la période retenue. Sa mise à jour à 2026-11-07T21:32:15Z est postérieure à la borne de fin et n’est pas retenue comme événement de cette période.
ImpactRisque d’exécution de commandes et de collecte de renseignements sur l’hôte où le paquet est installé.
Versions affectées1.0.0 à 1.1.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-07T14:31:46+02:00
Détection / vérification
Rechercher le paquet qzc690385, versions 1.0.0 à 1.1.3, dans les environnements et journaux d’installation.
Action recommandée
Ne pas installer les versions signalées; si l’une d’elles est présente, la retirer et enquêter sur l’hôte.
Sources
Priorisation DFS : P3 · 1 source(s).