VeilleTech — 2026-08-25

01 SÉCURITÉ Faille

Keycloak : un compte admin pris sans mot de passe

The Hacker News24 août3 min de lecture

Une faille critique de Keycloak, notée 9,1 sur l'échelle CVSS, permet à un attaquant non authentifié de forcer la réinitialisation du mot de passe de n'importe quel compte, administrateurs inclus. La cause est une mauvaise validation de l'état dans le parcours de récupération : le jeton envoyé par courriel n'est jamais réclamé.

CVE-2026-18963, notée 9,1 : prise de contrôle de compte sans authentification ni interaction
La session saute directement à l'étape de changement de mot de passe, le jeton n'est plus exigé
Correctifs : Keycloak 26.7.2 en amont, 26.4.15 et 26.6.6 pour la version Red Hat

Un serveur d'identité non à jour, c'est toute la chaîne qui tombe.

Lire la fiche Source

02 WORDPRESS Article

WordPress : un bloc sans React, en PHP seul

CSS-Tricks24 août2 min de lecture

WordPress 7.0 permet d'enregistrer un bloc uniquement en PHP, via le support autoRegister : le JavaScript et l'aperçu de l'éditeur sont générés automatiquement. Le confort est réel, mais les limites sont structurelles et définitives.

`'supports' => ['autoRegister' => true]` suffit : plus de double enregistrement ni de build
Les attributs déclarés génèrent les contrôles de la barre latérale, sans image ni texte multiligne
L'aperçu lit la base, pas le store de l'éditeur : les données modifiées en cours d'édition ne remontent pas

Un bloc en PHP, oui — tant qu'il n'affiche pas ce que l'auteur est en train d'écrire.

Lire la fiche Source

03 PHP Article

SAML WordPress : moins un vaut vrai, et on entre

DEV Community25 août2 min de lecture

Deux vulnérabilités du plugin miniOrange SAML SSO pour WordPress permettent de forger une réponse SAML et d'obtenir un cookie d'administrateur. La seconde tient à une erreur PHP élémentaire : le retour -1 d'openssl_verify, évalué comme un booléen, est vrai.

CVE-2026-61979 : la clé publique RSA publiée sert de secret HMAC-SHA1 pour signer une assertion forgée
CVE-2026-15981 : openssl_verify renvoie -1 sur erreur, évalué en booléen il vaut vrai
Sept éditions, sept numéros de version : la version corrigée dépend de l'édition installée

En PHP, comparer strictement n'est pas un détail de style.

Lire la fiche Source

04 WEB Discussion

JPEG XL arrive dans Firefox, écrit en Rust

Mozilla Hacks – the Web developer blog24 août3 min de lecture

Mozilla a publié son intention de livrer JPEG XL dans Firefox, en s'appuyant sur jxl-rs, un décodeur écrit en Rust par Google Research à la demande de Mozilla. Avec Chrome qui suit et Safari déjà équipé, le format sera supporté partout avant la fin de l'année.

Le décodeur C++ de 100 000 lignes a été refusé : Mozilla a exigé une implémentation Rust, jxl-rs
JPEG XL gagne en sans perte et en rendu progressif, AVIF reste devant sur les photos à qualité web
Chiffres du billet : 264 ko contre 227 ko en très haute qualité, mais 1,45 Mo contre 1,76 Mo en sans perte

Un nouveau format d'image, et une leçon : le Rust était la condition du déploiement.

Lire la fiche Source

05 CLOUDFLARE Article

Cloudflare migre son blog : les seuils d'abord

Cloudflare24 août3 min de lecture

Cloudflare raconte la migration de son blog vers EmDash, un CMS pour Astro exécuté sur Workers. La partie utile n'est pas le produit mais la méthode : scénarios k6 chiffrés et seuils d'échec définis avant la bascule.

Trois scénarios k6 : montée à 3x la production, point de rupture, rafale à 7 000 requêtes par seconde
Seuils fixés d'avance : 0,01 % d'erreurs 5xx, p95 sous 500 ms, p99 sous 1 seconde
Empilement de caches : Worker, Workers Cache, cache d'objets sur Workers KV, Hyperdrive vers PlanetScale

Une migration se juge sur les seuils qu'on a posés avant, pas sur le ressenti d'après.

Lire la fiche Source

06 IA Discussion

Un modèle peut-il pirater sa machine hôte ?

Boyd's Blog24 août3 min de lecture

Un essai examine une surface d'attaque peu discutée : le moteur d'inférence lui-même. Comme le modèle contrôle les jetons qu'il émet, un analyseur mal écrit peut transformer une sortie en exécution de code sur la machine qui héberge les poids.

Précédent réel : vLLM passait les arguments d'appel d'outil à eval, malgré une alerte automatique sur la PR
Plus de 200 architectures et une trentaine de gabarits de conversation : autant d'analyseurs à bugs
Parade proposée : séparer les GPU de l'analyseur de jetons, l'hôte GPU n'émettant que des logits

La sortie d'un modèle est une entrée non fiable. Traitez-la comme telle.

Lire la fiche Source

07 OLLAMA Release

Ollama : le cache qui repartait de zéro

Ollama25 août3 min de lecture

La version 0.33 d'Ollama, disponible en release candidate, branche les modèles locaux sur Claude Desktop depuis la barre de menus. Le vrai gain est ailleurs : les points de reprise du pré-remplissage deviennent fiables, et un message système de Claude Code qui invalidait le cache est neutralisé.

Activation modèle par modèle pour Claude Desktop, depuis la barre de menus
Un pré-remplissage annulé conserve ses points de reprise : fini le recalcul de 46 000 jetons sur 47 000
Le décompte de jetons de Claude Code, placé en tête de contexte, cassait le cache clé-valeur à chaque requête

Le bon correctif n'est pas celui qu'on annonce, c'est celui qu'on mesure.

Lire la fiche Source

08 SQLITE Discussion

Votre exécutable est une base SQLite

Farid Zakaria’s Blog23 août3 min de lecture

Un prototype nommé SELF remplace le format ELF par une base SQLite exécutable : le fichier se lance normalement et s'interroge en SQL. La démonstration de fond est que le format ELF réimplémente déjà, à la main, la plupart des primitives d'une base de données.

Deux tables suffisent à exécuter un programme : l'en-tête en clés-valeurs et les segments en BLOB
Table de chaînes, filtre de Bloom, table des sections : autant d'index et de catalogues écrits à la main
Retirer les tables d'outillage laisse le programme fonctionnel : strip devient une transaction

Vingt ans de format binaire, relus comme un schéma de base.

Lire la fiche Source

09 VERCEL Article

Vercel type ses variables : Config ou Secret

Vercel24 août2 min de lecture

Vercel remplace l'interrupteur « sensible » par deux types explicites de variables d'environnement, configuration ou secret. Les variables existantes sont converties automatiquement, et la politique d'équipe qui imposait le marquage sensible partout est dépréciée.

Chaque variable est typée à la création : Config lisible, Secret non relisible
Les variables marquées Sensitive deviennent des Secrets sans migration ni interruption
La politique d'équipe imposant Sensitive à toutes les variables est dépréciée

Typer ses variables ne protège rien. Savoir lesquelles sont lisibles, si.

Lire la fiche Source

10 OUTILS Discussion

Un nom HTTPS stable pour chaque app locale

routeup24 août2 min de lecture

Routeup donne à chaque projet local un nom HTTPS stable reconnu par le navigateur, déclaré dans le dépôt, avec exposition publique sélective d'un seul chemin et inspection des requêtes en direct. Un binaire Go unique, sous licence MIT et sans télémétrie.

Une adresse en .localhost stable entre les redémarrages, déclarée dans le dépôt et partagée avec l'équipe
Exposition publique limitée à des chemins choisis, par exemple /api/webhooks/*
Inspection en direct des requêtes, avec capture optionnelle des en-têtes et des corps

Le tunnel jetable a assez duré. Donnez un nom à vos projets.

Lire la fiche Source

VeilleTech — feed du mardi 25 août