VeilleTech — 2026-08-21

01 SÉCURITÉ Faille

isolated-vm : le bac à sable JS est percé

The Hacker News20 août3 min de lecture

Une confusion de type dans le composant ExternalCopy d'isolated-vm permet au code exécuté dans l'isolat de corrompre la mémoire du processus hôte, jusqu'à l'exécution de code arbitraire. Toutes les versions jusqu'à la 7.0.0 sont vulnérables. Le paquet est téléchargé environ un million de fois par semaine, souvent en dépendance indirecte.

La faille GHSA-864f-rcv7-6rh4 vient du traitement de l'option transferList dans ExternalCopy : une référence ivm.Reference suffit à amorcer l'exploitation.
Impact allant du plantage contrôlé à l'exécution de code sur l'hôte, avec les droits du processus applicatif.
Correctifs publiés en 7.0.1 et 6.2.0 — vérifier aussi les dépendances transitives, isolated-vm étant rarement installé directement.

Un bac à sable qui fuit est pire qu'un bac à sable absent : il donne confiance.

Lire la fiche Source

02 BUN Discussion

Bun 1.4 : cinq fois moins de CPU au repos

Bun20 août3 min de lecture

Bun 1.4 est la première version stable dont le cœur est écrit en Rust. L'annonce s'appuie sur des mesures : consommation processeur divisée par cinq au repos, mémoire d'un serveur Fastify ramenée de 233 à 120 Mo, démarrage deux fois plus rapide sur Linux. Quinze dépendances npm sont désormais intégrées au binaire.

Gains mesurés : CPU divisé par 5 au repos, mémoire HTTP en baisse de 13 à 48 %, binaire allégé de 17 %.
Nouvelles API natives : Bun.Image, Bun.WebView (navigateur headless sans Puppeteer), Bun.markdown, Bun.cron et Bun.Terminal.
1 517 tests Node supplémentaires passent depuis la 1.3 — Playwright, vitest et OpenTelemetry fonctionnent nativement.

Moins de dépendances à jour soi-même, plus de confiance à accorder au runtime.

Lire la fiche Source

03 OAUTH Faille

OAuth : refuser une permission sans tout bloquer

Cloudflare20 août3 min de lecture

Cloudflare remplace le consentement OAuth « tout ou rien » par un modèle où les développeurs distinguent portées obligatoires et optionnelles, ces dernières pouvant être refusées sans bloquer l'autorisation. L'annonce cite explicitement les serveurs MCP, qui demandent large parce qu'un agent pourrait tout utiliser.

Les portées optionnelles n'apparaissent à l'écran de consentement que si elles sont demandées dans ce flux précis.
Cas d'usage assumé : autoriser un agent MCP à lire des journaux sans lui ouvrir la configuration DNS.
Disponible dès maintenant ; la couverture des portées OAuth s'étend à quasiment tous les produits Cloudflare dans les semaines qui viennent.

Un agent qui demande tout obtient surtout un refus.

Lire la fiche Source

04 DEVOPS Discussion

GitHub : 7h47 de panne, et la vraie leçon

The GitHub Blog20 août3 min de lecture

GitHub publie le post-mortem de la panne du 17 août : 7 h 47 d'indisponibilité touchant le site, l'authentification, Actions, les API et Copilot. Un composant du centre de données Central US n'a pas su monter en charge, et la logique de réessai de Copilot a amplifié la difficulté de reprise.

Charge doublée en quatre mois : de 1,4 à 2,9 milliards de commits mensuels depuis avril.
Les réessais non plafonnés des services Copilot ont retardé le rétablissement — le mode de panne classique des systèmes distribués.
Correctifs annoncés : 3 millions de cœurs et 120 Po de stockage ajoutés, 58 % de la charge migrée vers Azure, limites de retry et isolation architecturale.

Un client qui insiste trop fort transforme une panne courte en panne longue.

Lire la fiche Source

VeilleTech — feed du vendredi 21 août