VeilleTech — 2026-08-29

01 SÉCURITÉ Faille

Next.js : RCE sous Windows et via les AVIF

heise Developer28 août2 min de lecture

Vercel a publié le 25 août deux avis critiques pour Next.js, tous deux en exécution de code à distance non authentifiée : GHSA-p293-qw3h-jr36 (CVSS 9.0) sur les serveurs hébergés sur un système de fichiers Windows, sans contournement connu, et GHSA-2xp9-vwfh-vxw4 (CVSS 9.5) sur l'API d'optimisation d'images quand un AVIF est traité. Les correctifs sont dans 15.5.24 et 16.3.3.

GHSA-p293-qw3h-jr36, CVSS 9.0 : Pages/App Router sans Cache Component sur système de fichiers Windows ; versions >= 13.4 < 15.5.24 et >= 16.0 < 16.3.3 ; aucun contournement
GHSA-2xp9-vwfh-vxw4, CVSS 9.5 : débordement de tas dans libheif (heif_decode_image) via sharp ; versions >= 10.0.0 < 15.5.24 et < 16.3.3 ; réf. libheif GHSA-g89c-p67h-r497
Corrigé en 15.5.24 et 16.3.3 ; l'optimisation AVIF est désactivée le temps que le correctif libheif se propage

Sur Windows, il n'y a pas de plan B : il y a une version.

Lire la fiche Source

02 SÉCURITÉ Faille

cPanel : un client peut devenir root sur le serveur

The Hacker News28 août3 min de lecture

cPanel a corrigé CVE-2026-65643, une faille critique des domaines parqués et additionnels qui permet à un titulaire de compte authentifié de créer des fichiers arbitraires, puis d'exécuter du code en tant que root. Toutes les versions supportées de cPanel & WHM sont concernées ; l'avis a été publié le 27 août.

CVE-2026-65643 : un compte pouvant ajouter un domaine parqué ou additionnel obtient l'exécution de code en root
Builds corrigées : 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2, et 11.138.1.7 pour WP Squared
Application immédiate en root : /scripts/upcp --force, ou WHM > cPanel > Upgrade to Latest Version ; contrôle sous Server Configuration > Update Preferences

Sur du mutualisé, le voisin de palier vient de recevoir un passe.

Lire la fiche Source

03 SÉCURITÉ Faille

PaperCut : zero-day exploité, fermez l'accès public

The Hacker News28 août3 min de lecture

PaperCut a publié deux correctifs d'urgence après avoir constaté l'exploitation en zero-day d'une faille touchant toutes les versions de PaperCut NG et MF. Huntress décrit un contrôle d'accès qui valide la page rendue et non le composant exécuté : une requête non authentifiée reconfigure le serveur et fait exécuter du code Java dans le processus de l'application.

CVE-2026-82078 (CVSS 9.4) : chargement dynamique de classes de pilotes sans liste d'autorisation dans les utilitaires de connexion à la base
CVE-2026-81578 (CVSS 8.8) : requêtes non authentifiées déclenchant des actions d'administration avant la fin de la validation d'accès
Indicateurs : activité suspecte de pc-app.exe, server.log tronqué ou supprimé, lignes « ERROR No suitable driver found for jdbc:no:x » et « ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST »

Un serveur d'impression exposé à internet est une porte, pas un périphérique.

Lire la fiche Source

04 IA Article

Dix minutes entre la pull request et les sondes

Simon Willison29 août2 min de lecture

Anil Madhavapeddy, mainteneur du compilateur OCaml, a vu des sondes correspondant exactement à une traversée de chemin arriver sur son serveur une dizaine de minutes après l'ouverture publique de la pull request corrective de cohttp. Il montre qu'un agent de code retrouve l'exploit à partir du seul sujet du bug, ce qui rend caduque la logique d'embargo de l'open source.

cohttp 6.3.0 corrige une traversée de chemin ; les sondes arrivent ~10 minutes après l'ouverture de la PR cohttp#1145
Exploit reconstruit en moins d'une minute par un agent à qui l'on donne seulement le thème « normalisation de chemin »
rclone : ~20 divulgations de sécurité en dix ans de projet, plus de 40 sur le dernier mois (Nick Craig-Wood)

L'embargo protégeait un délai qui n'existe plus.

Lire la fiche Source

05 LLM Discussion

GLM-5.3 : des poids ouverts qui trouvent des failles

huggingface.co28 août2 min de lecture

Z.ai publie GLM-5.3 en poids ouverts : même modèle de base que GLM-5.2, tous les gains venant du post-entraînement. L'équipe revendique le meilleur modèle à poids ouverts sur le code, mais la vraie nouveauté est une capacité cyber qu'elle décrit comme émergente, en tête de son tableau sur CyberGym et très au-dessus de GLM-5.2 sur les bancs d'exploitation.

753 milliards de paramètres, poids FP8 (F8_E4M3), 141 fichiers safetensors, ~750 Go : déploiement centre de données, pas poste de travail
Terminal Bench 3.0 : 28,3 contre 4,6 pour GLM-5.2 ; CyberGym 84,5 ; ExploitBench 54,4 contre 24,4 — chiffres annoncés par l'éditeur
Servi par vLLM, SGLang, KTransformers, TokenSpeed, Transformers, Unsloth ; paramètre reasoning_effort à low, high ou max (défaut max)

Les poids se téléchargent ; les garde-fous, non.

Lire la fiche Source

06 WEB Discussion

htmx 4.0 : fetch, héritage explicite, et pas latest

htmx28 août2 min de lecture

htmx 4.0 est publié après huit mois de travail : les internes passent de XMLHttpRequest à fetch, l'héritage d'attributs devient explicite via un suffixe :inherited, les noms d'événements sont normalisés et l'historique n'est plus caché dans localStorage. La version n'est volontairement pas marquée latest sur npm, pour ne pas mettre à jour les sites qui chargent htmx depuis un CDN non versionné.

Publié sous l'étiquette npm next ; 2.x reste latest jusqu'au début 2027, le site documente désormais la 4.0
Trois ruptures : héritage explicite via le suffixe :inherited (hx-confirm:inherited), événements renommés en htmx:phase:action (htmx:before:request), historique refetché au lieu d'être caché dans localStorage
Nouveautés : échanges par morphing intégrés (idiomorph), balise <hx-partial>, extensions hx-preload, hx-sse, hx-ws, hx-live, bundle htmax.js ; un outil de vérification de migration est fourni

Une version majeure qui refuse de s'installer toute seule : c'est aussi une position.

Lire la fiche Source

07 LARAVEL Article

Laravel : les starter kits passent à Vite+

Laravel News28 août2 min de lecture

Tous les starter kits Laravel construisent désormais avec Vite+, la chaîne unifiée pilotée par la commande vp. ESLint et Prettier sortent du socle front : quatre scripts npm deviennent vp check, les fichiers de configuration disparaissent et les règles migrent dans vite.config.ts sous les clés lint et fmt.

PR laravel/maestro#60 (Wendell Adriel), synchronisée le jour même vers les kits React, Vue, Svelte et Livewire ; vite-plus épinglé en 0.3.0
vp remplace Vite, Rolldown, Vitest, tsdown, Oxlint, Oxfmt et Vite Task ; lint, lint:check, format et format:check deviennent vp check et vp check --fix
Suppression d'eslint.config.js, .prettierrc et .prettierignore, plus une douzaine de devDependencies ; -129 lignes de config ESLint dans le kit React

Sept outils, une commande : reste à voir ce que les règles ont perdu en route.

Lire la fiche Source

08 LARAVEL Article

Eloquent : refreshForUpdate pose enfin le verrou

Laravel News28 août1 min de lecture

Laravel 13.27 ajoute refreshForUpdate() à Eloquent : la méthode recharge un modèle par sa clé primaire avec un FOR UPDATE et met l'instance à jour sur place. Elle passe par le PDO d'écriture, ce qui évite qu'un réplica de lecture serve la valeur sur laquelle repose le verrou.

Ajouté dans Laravel 13.27, contribution de Steve Bauman (PR laravel/framework#61247)
S'appuie sur refreshUsingQuery() avec newQueryWithoutScopes()->lockForUpdate() et useWritePdo() ; retourne $this si le modèle n'existe pas
Le verrou ne tient que dans une transaction : à encadrer par DB::transaction(), sinon il est relâché immédiatement

Un verrou posé sur un réplica ne verrouille rien du tout.

Lire la fiche Source

09 DEVOPS Article

Kubernetes : des certificats X.509 pour vos pods

Kubernetes28 août2 min de lecture

Kubernetes 1.37 fait passer en GA les Pod Certificates et les Cluster Trust Bundles : l'émission de certificats X.509 pour TLS et mTLS entre dans le cœur du projet. La clé privée est générée par le kubelet et ne quitte pas le nœud, ce qui remplace un jeton porteur par une preuve de possession.

Deux sources de volume projeté : podCertificate et clusterTrustBundle ; le kubelet crée un PodCertificateRequest, le signataire remplit status.certificateChain et status.beginRefreshAt
Aucun signataire n'est encore livré dans le cœur (Tinycert sert de base pour expérimenter) ; durée de vie maximale de 24 h pour les futurs signataires du cœur, 91 jours pour les autres
Rotation automatique mais non transparente : l'application doit relire les fichiers par inotify ou sondage ; le mode credential bundle écrit clé et chaîne dans un seul fichier

Le jeton porteur donne votre identité ; le certificat n'en prête que la preuve.

Lire la fiche Source

10 IA Article

Deux commandes du checkpoint à l'inférence C++

NVIDIA Developer28 août2 min de lecture

NVIDIA publie TensorRT Model Connect, une collection ouverte d'implémentations de référence pour passer d'un identifiant Hugging Face à de l'inférence C++ native. Une commande Python construit un bundle contenant les moteurs TensorRT, que l'application C++ charge ensuite sans PyTorch ni interpréteur Python à l'exécution.

Phase 1 en Python : trtmc build Qwen/Qwen3-0.6B -o qwen3-0.6B.bundle ; phase 2 en C++ : chargement du bundle, exécution sans runtime Python
Deux niveaux d'API : sémantique (entrées/sorties de la tâche) et module (tenseurs et composants) ; noyaux GPU personnalisés via TVM FFI
Dépôt NVIDIA/TensorRT-Model-Connect, publications nocturnes, couverture limitée aux modèles implémentés

L'inférence sans Python, c'est surtout un binaire qu'on peut livrer.

Lire la fiche Source

VeilleTech — feed du samedi 29 août