VeilleTech — 2026-08-30

01 SÉCURITÉ Faille

WordPress : cinq failles critiques, dont un 10/10

The Hacker News29 août2 min de lecture

Wordfence et Patchstack ont publié cinq avis critiques touchant WPMU DEV Dashboard, le thème Avada, TranslatePress, Pods et GiveWP. Quatre sont notés 9.8 et le cinquième, une injection d'objet PHP dans GiveWP, atteint le score maximal de 10.0. Toutes mènent à la prise de contrôle du site ou à l'exécution de code à distance sans authentification.

GiveWP jusqu'à 4.16.7.1 — CVE-2026-82222, CVSS 10.0 : injection d'objet PHP vers RCE, dès qu'un formulaire de don est publié avec une passerelle de paiement active
Avada jusqu'à 7.16 avec Fusion Builder jusqu'à 3.16 — CVE-2026-18431, CVSS 9.8 : écriture de fichier arbitraire vers RCE
WPMU DEV Dashboard ≤ 5.0.1 (CVE-2026-76581), TranslatePress ≤ 3.3.1 (CVE-2026-19632), Pods ≤ 3.3.9 (CVE-2026-19598) : tous CVSS 9.8, tous en contournement d'authentification ou escalade de privilèges

Un dix sur dix, ça ne se lit pas le lundi.

Lire la fiche Source

02 DEVOPS Discussion

kernel.org : les robots IA mangent 20 % du serveur

people.kernel.org29 août3 min de lecture

Konstantin Ryabitsev, qui administre l'infrastructure de kernel.org, chiffre l'impact des robots d'entraînement sur git.kernel.org : 6 millions de requêtes par jour dont environ 2 % de trafic humain, et 14 à 16 cœurs sur 90 consacrés en permanence à rendre des commits en HTML. Le défi de preuve de travail Anubis en écarte deux tiers, mais les robots résolvent désormais la difficulté 5.

6 millions de requêtes quotidiennes sur git.kernel.org : 66 % repoussées par Anubis, 33 % résolvent le défi, ~2 % du trafic total est légitime
14 à 16 cœurs sur les 90 répartis entre 5 nœuds géo-distribués, soit ~20 % de la capacité, par vagues et non en plateau
Anubis est passé de la difficulté 4 à la difficulté 5 (SHA-256 à zéros initiaux) : les robots suivent, et un mobile met plusieurs secondes à résoudre le défi

Le robots.txt ne protège que ceux qui le lisent.

Lire la fiche Source

03 MCP Article

MCP : « lecture seule », mais qui a vérifié ?

DEV Community30 août3 min de lecture

Dans MCP, l'annotation readOnlyHint est écrite par le serveur qu'elle est censée qualifier, et certains harnais s'en servent pour décider s'il faut demander l'accord de l'utilisateur. Airlock, publié sous licence MIT, teste les déclarations contre le comportement observé et interpose ensuite un proxy qui applique la politique côté réseau.

readOnlyHint est auto-déclaré : le serveur évalué est celui qui décrit sa propre dangerosité, et rien dans la spec ne l'oblige à être exact
Airlock (github.com/himanshu748/airlock-mcp, MIT, 302 tests) distingue quatre états : finding, no_finding_observed, not_tested, sensor_failed
Résultats annoncés : 7 constats sur 36 contrôles et les 5 comportements plantés retrouvés sur la fixture malhonnête, 0 sur la fixture honnête

Le renard qui certifie l'état du poulailler.

Lire la fiche Source

04 LLM Article

Hy4 : 770 milliards de paramètres en poids ouverts

Simon Willison30 août1 min de lecture

Tencent a mis en ligne Hy4 Preview, un modèle à poids ouverts en texte seul : 770 milliards de paramètres au total pour 49 milliards actifs, 1 million de tokens de contexte et 1,56 To de fichiers sur Hugging Face. C'est un bond considérable face à Hy3, publié en juillet avec 295 milliards de paramètres et 256 000 tokens de contexte.

Hy4 Preview : 770 B de paramètres totaux, 49 B actifs, contexte 1 M de tokens, 1,56 To sur huggingface.co/tencent/Hy4-preview
Hy3 (juillet 2026) pour comparaison : 295 B totaux, 21 B actifs, 256 000 tokens, 598 Go
Deux niveaux d'effort dans chat_template.jinja : « high » par défaut et « no_think » ; modèle texte seul, sans entrée image ; essayable via OpenRouter

Un téraoctet et demi, ce n'est plus un téléchargement.

Lire la fiche Source

05 WEB Discussion

Typebase : un back-end dans un dossier TypeScript

Typebase26 août2 min de lecture

Typebase propose de décrire tout un back-end — schéma, actions serveur, authentification — dans un dossier de TypeScript, puis de le déployer chez soi. L'argument tient en une phrase : l'autorisation redevient du code que le compilateur vérifie, au lieu de politiques RLS écrites en SQL et invisibles à la revue. Sous licence MIT, en version 0.1.15.

Briques assemblées (package typebase-io 0.1.15, MIT) : drizzle-orm 1.0.0-beta.22, @orpc/client et @orpc/server 1.14.3, better-auth 1.6.11, PostgreSQL standard
Prise en main : npm i typebase-io && npm i -D typebase-io-cli, puis npx typebase-io-cli init et npx typebase-io-cli deploy — vers Vercel, Cloudflare Workers ou Deno Deploy, Postgres sur Neon
Guides fournis pour Next.js (>=15), SvelteKit (>=2.20), Nuxt et Expo ; le stockage de fichiers n'est pas encore implémenté et figure sur la feuille de route

L'autorisation relue en revue, pas cachée en console.

Lire la fiche Source

VeilleTech — feed du dimanche 30 août