VeilleTech — 2026-09-23

01 SÉCURITÉ Faille

WordPress 7.1.2 : un chemin, et le PHP s'exécute

GitHub22 septembre1 min de lecture

Un visiteur non authentifié peut amener get_page_template() à inclure un fichier .php local de son choix, hors des dossiers du thème. Avec un thème qui porte un dossier page-* à sa racine et un serveur où pearcmd.php est exploitable, l'inclusion devient une exécution de code. WordPress 7.1.2 corrige, avec un rétroportage jusqu'à la branche 4.7.

Corrigé dans WordPress 7.1.2, rétroporté jusqu'à la branche 4.7 — avis GHSA-7hp8-65ch-5whp
Thèmes exposés : un dossier `page-*` à la racine — Twenty Twelve, Twenty Fourteen, Neve, Hestia, Sydney
RCE si `pearcmd.php` est lisible et `register_argc_argv = On` : image Docker `php` officielle, cPanel par défaut avant PHP 8.5

Votre thème a un dossier page-templates ? Votre image, un pearcmd.php ? Ne cherchez pas trop longtemps : mettez à jour.

Lire la fiche Source

02 SÉCURITÉ Faille

Bifrost : une requête, et la passerelle IA obéit

The Hacker News22 septembre2 min de lecture

JFrog a trouvé dans Bifrost, une passerelle LLM open source, une exécution de commande sans authentification notée 9,8 : un POST sur /api/mcp/client enregistre un client MCP stdio que la passerelle lance aussitôt. L'authentification d'administration est désactivée par défaut et l'image Docker écoute sur 0.0.0.0. Seule transports/v2.1.0 corrige ; les clés des fournisseurs sont à changer.

CVE-2026-90898 (CVSS 9.8) : `POST /api/mcp/client` sans authentification lance une commande stdio — corrigé dans `transports/v2.1.0`
`transports/v2.0.0` reste vulnérable ; la branche 1.6.x jusqu'à 1.6.11 n'a aucun des deux correctifs
Sans mise à jour : `governance.auth_config.is_enabled` à true ; instance exposée = compromise, rotation des clés virtuelles et fournisseurs

Une passerelle qui détient toutes vos clés ne devrait pas ouvrir son administration par défaut. La vôtre, elle fait quoi ?

Lire la fiche Source

03 SÉCURITÉ Faille

GitHub Actions : le cache de Miri garde vos secrets

blog.rust-lang.org22 septembre3 min de lecture

Miri recopiait toutes les variables d'environnement dans target/. Avec un cache GitHub Actions écrit par main et lu par les pull requests, un secret présent au moment d'un cargo miri devenait lisible par tout contributeur déjà accepté. Le correctif est dans la nightly du 22 septembre ; l'équipe Rust rappelle qu'aucun job écrivant dans un cache partagé ne devrait voir de secret.

Exposé si : `cargo miri` en CI + secret en variable d'environnement + cache de `target/` (`actions/cache`, `Swatinem/rust-cache`) lisible par les PR
Correctif : Miri ne garde que `CARGO_*` (hors `CARGO_*_TOKEN`) et `OUT_DIR` — nightly du 2026-09-22, rust-lang/miri#5337
Ensuite : vider le cache GitHub Actions et faire tourner les secrets qui ont pu fuir

Le cache ne fait pas le tri entre un binaire et un jeton. C'est à votre workflow de le faire.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : des jokers dans la hiérarchie des rôles

Symfony22 septembre2 min de lecture

Symfony 8.2 accepte l'astérisque dans les clés de role_hierarchy : ROLE_BLOG_* couvre toute une famille de rôles, y compris ceux qui ne sont déclarés nulle part. Pour garder la main, une commande debug:roles liste les rôles réellement accordés et explique leur origine, et le graphe de la hiérarchie s'affiche dans le panneau Security du profileur.

Clés à joker : `ROLE_BLOG_*` ou `ROLE_*_FOO` ; `ROLE_BLOG*` et `ROLE_*BLOG` restent des noms ordinaires
Un joker n'est pas un rôle : `is_granted('ROLE_BLOG_*')` cherche ce nom exact, `getReachableRoleNames()` ne renvoie jamais de motif
`debug:roles --tree` explique chaque rôle accordé ; le graphe de la hiérarchie arrive dans le panneau Security du profileur

Un joker ne se relit pas tout seul. Un debug:roles, si.

Lire la fiche Source

05 OUTILS Discussion

Git 3.0 arrive en avril 2027, SHA-256 par défaut

LWN.net22 septembre3 min de lecture

Le calendrier est fixé : Git 2.98 en décembre 2026, puis 2.99, maintenue au long cours, et 3.0 ensemble en avril 2027. La 3.0 passe les nouveaux dépôts en SHA-256 et en reftable, et rend Rust obligatoire pour compiler Git. GitHub ne gère pas encore SHA-256 ; les dépôts SHA-1 restent pris en charge.

Calendrier : Git 2.98 en décembre 2026, puis 2.99 (LTS) et 3.0 ensemble en avril 2027
Par défaut en 3.0 : SHA-256 au lieu de SHA-1, refs en reftable, Rust requis pour compiler — GitHub ne gère pas encore SHA-256
À tester : `git init --object-format=sha256 --ref-format=reftable` ; la 2.56 apporte `git branch --delete-merged` et `git add --resolved`

Quarante caractères, c'était SHA-1. Vos scripts savent-ils compter jusqu'à soixante-quatre ?

Lire la fiche Source

06 CLOUDFLARE Article

Cloudflare gère enfin Vary, sans émietter le cache

Cloudflare22 septembre3 min de lecture

Les Cache Rules de Cloudflare savent désormais respecter l'en-tête Vary, sur tous les plans. Trois actions par en-tête — normaliser, transmettre tel quel, ne pas mettre en cache — évitent qu'Accept-Language ou Accept émiettent le cache en milliers de variantes jamais réutilisées. L'origine doit renvoyer Vary de façon cohérente, erreurs comprises.

Plans Free, Pro, Business et Enterprise : tableau de bord, Rulesets API (phase `http_request_cache_settings`), Terraform
Par en-tête : `normalize` (défaut conseillé), `passthrough`, `bypass` pour `Cookie` et `User-Agent` ; `Vary: *` n'est jamais mis en cache
L'origine doit renvoyer `Vary` partout, erreurs comprises ; modifier la règle ne purge pas les entrées existantes

Vary disait quoi regarder. Cloudflare vous laisse enfin dire ce qui compte.

Lire la fiche Source

07 DUCKDB Article

dbt v2 embarque DuckDB : plus rien à installer

DuckDB22 septembre3 min de lecture

dbt 2.0.0, sorti le 14 septembre sur le moteur Rust Fusion, intègre l'adaptateur DuckDB : plus de paquet Python à installer, le pilote est téléchargé au premier lancement. La v2 apporte aussi des métadonnées en Parquet interrogeables par DuckDB, une analyse du SQL avant exécution et les catalogues DuckLake et Iceberg.

dbt 2.0.0 (14 septembre 2026) : adaptateur DuckDB intégré, pilote téléchargé au premier lancement ; distributions `dbt` et `dbt-oss`
`dbt parse --generate-info-schema` écrit les métadonnées en Parquet dans `target/info_schema/v1/`, interrogeables par DuckDB
Migration : `dbt parse --use-v2-parser` depuis dbt 1.12, puis `dbt-autofix` ; DuckLake et Iceberg via `catalogs.yml` et `use_catalogs_v2`

Un binaire, un fichier DuckDB, trois lignes de profil : dbt tient maintenant sur un portable.

Lire la fiche Source

08 IA Article

Opus 5.5 et GPT-6 : les prix chutent le même jour

Simon Willison23 septembre3 min de lecture

Claude Opus 5.5 et GPT-6 Sol et Luna sont sortis à une heure d'intervalle le 22 septembre, avec des baisses de prix marquées : GPT-6 divise par deux les tarifs de GPT-5.6, Opus 5.5 baisse de 20 %, et de 60 % sur la lecture du cache. Simon Willison signale aussi qu'Opus 5.5 en effort « max » a deux fois épuisé ses 128 000 jetons de sortie sans répondre.

Par million de jetons (entrée / cache / sortie) : GPT-6 Luna 0,10 / 0,01 / 0,50 $ · GPT-6 Sol 2 / 0,20 / 10 $ · Opus 5.5 4 / 0,20 / 20 $
Opus 5.5 : 5 / 25 $ → 4 / 20 $ (−20 %), lecture du cache −60 % ; GPT-5.6 augmente de 25 % en novembre
Opus 5.5 en effort « max » : deux échecs sur la limite de 128 000 jetons de sortie, 2,56 $ et près de 20 min chacun

Les prix bougent plus vite que les bancs d'essai. Refaites vos calculs avant de refaire vos benchmarks.

Lire la fiche Source

09 LLM Article

Transformers exécute vos GGUF sans les déquantifier

Hugging Face22 septembre3 min de lecture

Transformers sait désormais exécuter des fichiers GGUF sans les déquantifier, en réutilisant les noyaux Metal de ggml distribués par la bibliothèque kernels. Le débit approche celui de llama.cpp sur un M2 Max. Le support se limite pour l'instant à Apple Silicon et à l'architecture Qwen3.5, avec transformers installé depuis main.

`from_pretrained(model_id, gguf_file='Qwen3.5-4B-Q4_K_M.gguf')` : poids gardés compressés sur Metal via les noyaux ggml du paquet `kernels`
`transformers serve 'unsloth/Qwen3.5-4B-GGUF:Qwen3.5-4B-Q4_K_M.gguf'` → API compatible OpenAI sur `http://localhost:8000/v1`
Limites : Apple Silicon (MPS) seulement, architectures Qwen3.5 et Qwen3.8 compatibles, transformers installé depuis `main`

llama.cpp pour servir, Transformers pour comprendre. Le même fichier, enfin, dans les deux.

Lire la fiche Source

VeilleTech — feed du mercredi 23 septembre