Le journal DFS
Docker
-
Docker Sandboxes : fuite possible d’identifiants dans les réponses du proxy
P4 · Moyenne · CVE-2026-101998 — Docker Sandboxes pouvaient transmettre des octets non masqués lorsque la lecture du corps d’une réponse renvoyait simultanément des données et…
-
Docker Engine : contournement de la sécurité des connexions à un registre via une réponse DNS mixte
P3 · Élevée · CVE-2026-92543 — Docker Engine peut traiter un registre comme non sécurisé si l’une des adresses IP renvoyées par son nom d’hôte appartient…
-
Docker Buildx Bake : vérification insuffisante des autorisations de lecture de fichiers
P4 · Moyenne · CVE-2026-103433 — Docker Buildx Bake ne demande pas toujours l’autorisation attendue de lecture de fichiers pour certaines entrées du système de fichiers.…
-
Nx : injection de commandes dans le pipeline de publication Docker
P3 · Élevée · CVE-2026-104859 — Dans le pipeline de publication Docker de @nx/docker, des valeurs de configuration sont intégrées à des commandes shell, ce qui…
-
Tugtainer : validation insuffisante du jeton d’identité OIDC
P3 · Élevée · CVE-2026-87004 — Dans Tugtainer, le flux de connexion OIDC utilisait les revendications du jeton d’identité sans vérifier sa signature ni valider son…
-
Docker MCP Gateway : contournement de la frontière de confiance lors de la création de conteneurs
P3 · Élevée · CVE-2026-55887 — CVE-2026-55887 concerne Docker MCP Gateway, qui avant la version 0.42.2 pouvait appliquer des paramètres d’exécution contrôlés par l’auteur d’une image…
-
Tugtainer : SSRF via le test des notifications
P3 · Critique · CVE-2026-62308 — Tugtainer permet à un utilisateur authentifié d’utiliser le point de terminaison de test des notifications pour faire émettre au serveur…
-
Obot : démarrage rapide Docker exposé sans authentification
P3 · Critique · CVE-2026-101065 — CVE-2026-101065 concerne la configuration de démarrage Docker documentée pour Obot, qui exposait le service sur toutes les interfaces avec l’authentification…
-
Paquet npm malveillant n8n-nodes-metricsagent : backdoor RCE exposée sur le port 41111
P2 · Critique — Le paquet npm n8n-nodes-metricsagent 1.0.0 est signalé comme malveillant : son installation déploie un serveur HTTP sans authentification permettant l’exécution de commandes.
-
Paquet npm malveillant n8n-nodes-metricsagent : backdoor RCE et reconnaissance Docker
P2 · Critique — Le paquet npm n8n-nodes-metricsagent 1.0.0 est signalé comme malveillant. Son installation ou son chargement ouvre un service HTTP non authentifié exposé sur…