Base de données CVE

LiteLLM est un serveur proxy (AI Gateway) pour appeler les API LLM au format OpenAI (ou natif). Avant la version 1.84.0, le endpoint MCP Streamable HTTP de LiteLLM permettait à un attaquant non authentifié d'utiliser un en-tête Authorization fabriqué pour déclencher un chemin de repli passthrough OAuth2 qui remplaçait l'échec de validation de la clé LiteLLM par un objet UserAPIKeyAuth() vide, permettant aux requêtes d'atteindre l'outillage MCP sans clé LiteLLM valide. Ce problème est corrigé dans la version 1.84.0.

Dans le noyau Linux, la vulnérabilité suivante a été résolue : ipv6 : prendre en compte fraggap sur le chemin d'allocation paginée Dans __ip6_append_data(), lorsque la branche d'allocation paginée est empruntée (MSG_MORE / NETIF_F_SG / fraglen important), alloclen et pagedlen sont calculés comme alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen inclut déjà fraggap (datalen = length + fraggap). Lorsque fraggap est non nul, il ne s'agit pas du premier skb et transhdrlen vaut zéro. Les octets fraggap reportés du skb précédent sont copiés juste après les en-têtes de fragment dans la zone linéaire du nouveau skb. La zone linéaire est donc sous-dimensionnée de fraggap octets tandis que pagedlen est surévalué du même montant, et la copie écrit au-delà de skb->end dans le skb_shared_info final. Un utilisateur non privilégié peut déclencher ceci via un socket UDPv6 en utilisant MSG_MORE conjointement avec MSG_SPLICE_PAGES. La comptabilisation erronée a été introduite par le commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Avant le commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), la valeur négative de copy provoquait le retour de -EINVAL. Ce commit ultérieur a permis à MSG_SPLICE_PAGES de continuer dans ce cas, rendant la corruption déclenchable. La branche non paginée définit alloclen à fraglen, qui prend déjà en compte fraggap car datalen le fait. Aligner la branche paginée en ajoutant fraggap à alloclen et en le soustrayant de pagedlen. Après cet ajustement, copy ne se réduit plus à -fraggap sur le chemin paginé, donc supprimer le commentaire obsolète décrivant cette ancienne arithmétique. Puisqu'un copy négatif n'est plus attendu pour un cas MSG_SPLICE_PAGES valide, supprimer l'exception MSG_SPLICE_PAGES du contrôle de copy négatif.

Dans le noyau Linux, la vulnérabilité suivante a été résolue : KVM: x86: Fix shadow paging use-after-free due to unexpected role Le commit 0cb2af2ea66ad ("KVM: x86: Fix shadow paging use-after-free due to unexpected GFN") a corrigé une incohérence du shadow paging entre les GFNs stockés et calculés ; le bug pouvait être déclenché en modifiant un mapping PDE depuis l'extérieur du guest, puis en supprimant un memslot. L'appel rmap_remove() manquait les entrées créées après la modification du PDE car le GFN de la leaf SPTE ne correspond pas au GFN de la struct kvm_mmu_page. Un trou similaire subsiste cependant si le PDE modifié pointe vers une page non-leaf. Dans ce cas le gfn peut être rendu correspondant, mais le role ne correspond pas : la grande page originale de 2MB crée un kvm_mmu_page avec direct=1, tandis que le nouveau 4KB nécessite un kvm_mmu_page avec direct=0. Cependant, kvm_mmu_get_child_sp() ne compare pas le role, et réutilise donc la page. L'étape suivante est l'installation d'une leaf SPTE (4KB) sur le nouveau chemin qui enregistre une entrée rmap sous le gfn résolu par le walk. Mais lorsque cet enfant est zapped son parent kvm_mmu_page a direct=1 et kvm_mmu_page_get_gfn() calcule le gfn pour la page de 4KB comme sp->gfn + index au lieu d'utiliser sp->shadowed_translation[] (ou sp->gfns[] dans les kernels plus anciens). Il ne parvient donc pas à supprimer l'entrée enregistrée. Lorsque le memslot est supprimé la shadow page est libérée mais l'entrée rmap survit, comme dans le scénario déjà corrigé. Le code qui parcourt ensuite ce gfn (dirty logging, MMU notifier invalidation, et ainsi de suite) déréférence un sptep qui se trouve dans la page libérée, provoquant le use-after-free.

Les versions de l'image Docker Gitea jusqu'à la version 1.26.2 incluse utilisent REVERSE_PROXY_TRUSTED_PROXIES=* par défaut, permettant à toute IP source de se faire passer pour un utilisateur lorsque les en-têtes d'authentification du reverse proxy tels que X-WEBAUTH-USER sont activés.

Vulnérabilité de dépassement de mémoire NetScaler ADC et NetScaler Gateway entraînant un comportement imprévisible ou erroné et un déni de service si l'appliance est configurée comme Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou serveur virtuel AAA

Claude Code est un outil de codage agentique. De 2.1.38 à 2.1.163, la gestion des worktrees de Claude Code permettait la création de worktrees nommés ".git" et la navigation vers des worktrees en dehors du contexte sandbox, permettant des attaques par confusion du répertoire git. En exploitant la manipulation de symlinks et l'exécution de git fsmonitor pendant les opérations sur les worktrees, un attaquant pouvait écraser des fichiers dans le répertoire home de l'utilisateur (tels que .zshenv), conduisant à une exécution de code en dehors des restrictions du sandbox seatbelt. L'exploitation fiable nécessitait que l'utilisateur clone un dépôt malveillant contenant du contenu de type prompt injection et exécute Claude Code contre celui-ci. Cette vulnérabilité est corrigée dans 2.1.163.

Kestra est une plateforme d'orchestration open-source, pilotée par les événements. Avant les versions 1.0.45 et 1.3.21, AuthenticationFilter dans Kestra OSS utilise request.getPath().endsWith("/configs") pour exempter l'endpoint de configuration public de Basic Auth. Étant donné que le contrôle est une correspondance de suffixe plutôt qu'une correspondance exacte de chemin, tout chemin d'API dont le dernier segment est configs contourne entièrement l'authentification. Un attaquant distant non authentifié peut exploiter cela pour créer et exécuter des workflows arbitraires sans identifiants. Comme Kestra est livré avec des plugins d'exécution de scripts (plugin-script-shell, plugin-script-python, etc.) activés par défaut, cela entraîne directement une exécution de code à distance non authentifiée en tant que root à l'intérieur du conteneur worker de Kestra. Cette vulnérabilité est corrigée dans les versions 1.0.45 et 1.3.21.

Gogs est un service Git auto-hébergé open source. Avant la version 0.14.3, les noms d'organisation contenant des séquences de path traversal (../) sont acceptés par Gogs, et les dépôts associés sont écrits dans des chemins suivant ces path traversals. Cela permet de stocker/récupérer des données pour des dépôts à des emplacements arbitraires sur le système de fichiers. En créant une structure imbriquée de dépôts Git, on peut écraser la configuration des hooks de l'autre pour aboutir à une Remote Code Execution (RCE). Cette vulnérabilité est corrigée dans la version 0.14.3.

Neutralisation incorrecte utilisée dans une commande OS dans le lanceur de conteneurs dans Google Gemini CLI (versions antérieures à 0.39.1) et run-gemini-cli GitHub Action (versions antérieures à 0.1.22) sur les plateformes CI headless permet à un attaquant non privilégié d'obtenir une exécution de code au niveau de l'hôte pré-sandbox un fichier .gemini/.env conçu de manière malveillante.

Claude Code est un outil de codage agentique. De 0.2.54 à 2.1.163, comme le nom d'hôte huggingface.co était pré-approuvé en tant que nom d'hôte nu pour l'outil WebFetch, tout chemin sur ce domaine — y compris les dépôts de modèles contrôlés par un attaquant — était automatiquement approuvé sans invite d'autorisation et sans être soumis aux restrictions --allowedTools. Un attaquant capable d'injecter du contenu non fiable dans un contexte Claude Code pouvait l'amener à émettre des requêtes WebFetch vers des fichiers de dépôt contrôlés par l'attaquant (p. ex. /resolve/main/config.json), que HuggingFace comptabilise comme des téléchargements côté serveur, créant un canal caché hors bande pour encoder et exfiltrer des données accessibles à Claude telles que des fichiers, des variables d'environnement ou des sorties de commande. L'exploitation fiable de cette vulnérabilité nécessitait la capacité d'ajouter du contenu non fiable dans une fenêtre de contexte Claude Code. Cette vulnérabilité est corrigée en 2.1.163.

Langflow est un outil de création et de déploiement d'agents et de workflows alimentés par l'IA. Avant la 1.9.1, une vulnérabilité Insecure Direct Object Reference (IDOR) dans l'endpoint /api/v1/responses permet à un attaquant authentifié d'exécuter tout flow appartenant à un autre utilisateur en spécifiant le flow ID de la victime dans la requête. Cette vulnérabilité est corrigée en 1.9.1.

Une vulnérabilité critique d'exécution de code à distance (RCE) a été signalée dans PTC Windchill PDMlink et PTC FlexPLM. La vulnérabilité peut être exploitée via la désérialisation de données non fiables. * Cet avis s'applique également à toutes les versions CPS * La vulnérabilité identifiée affecte également les versions Windchill et FlexPLM antérieures à 11.0 M030

Microsoft est conscient d'une élévation de privilèges dans Microsoft Malware Protection Engine dans Microsoft Defender publiquement appelée "RoguePlanet ".

LiteSpeed cPanel plugin avant 2.4.8 (tel que distribué dans LiteSpeed WHM PlugIn avant 5.3.2.0) gère incorrectement les symlinks fournis par un utilisateur avec un accès FTP ou web shell sur un serveur d'hébergement partagé exécutant CloudLinux/CageFS, comme exploité in the wild en mai 2026.