VeilleTech — 2026-09-27

01 SÉCURITÉ Faille

Elementor 4.3 : un lien, et l'attaquant est admin

Patchstack25 septembre3 min de lecture

Elementor 4.3.0 et 4.3.1 désactivent la protection CSRF de toute l'API REST de WordPress dès que la chaîne elementor/v1/events/ figure dans l'adresse, paramètres compris. Un simple lien cliqué par un administrateur connecté suffit à créer un compte administrateur pour l'attaquant. Plus de deux millions de sites ont installé ces versions ; la 4.3.2 corrige.

Touchées : Elementor 4.3.0 et 4.3.1 uniquement (plus de 2 millions d'installations) — corrigé en 4.3.2, sorti le 24/09/2026
Déclencheur : `elementor/v1/events/` n'importe où dans l'URI, ex. `/wp-json/wp/v2/users?_method=POST&…&x=elementor/v1/events/`
CVSS 8.8, pas encore de CVE ; à faire : mettre à jour, puis auditer la liste des administrateurs

Un paramètre dans l'URL, et le nonce ne compte plus.

Lire la fiche Source

02 SÉCURITÉ Faille

GitLab : une regex dans la CI exécute du code

GitLab23 septembre3 min de lecture

GitLab 19.4.1, 19.3.3 et 19.2.7 corrigent deux failles critiques notées 9,9 : une regex forgée dans une configuration CI/CD suffit à un utilisateur authentifié pour exécuter du code sur le serveur. Neuf autres failles sont fermées, dont une XSS dans le diff des merge requests. Les installations auto-hébergées doivent migrer, avec une coupure sur les instances à nœud unique.

CVE-2026-89078 (double free) et CVE-2026-93577 (dépassement d'entier), CVSS 9.9 : exécution de code via une regex dans la config CI/CD
Corrigé en 19.4.1, 19.3.3 et 19.2.7 (23/09/2026) ; touchées : 19.2 < 19.2.7, 19.3 < 19.3.3, 19.4 < 19.4.1
Aussi : XSS dans le diff des MR, CVE-2026-84739 (CVSS 8.7, depuis 13.11) ; migrations, donc coupure en nœud unique

Une regex de trop, et c'est le serveur qui obéit.

Lire la fiche Source

03 SÉCURITÉ Faille

PeopleSoft : un caractère encodé, et le WAF cède

The Hacker News26 septembre3 min de lecture

Mandiant signale une nouvelle vague d'exploitation massive de CVE-2026-35273, une RCE sans authentification dans Oracle PeopleSoft. Les attaquants contournent les règles de WAF qui bloquaient /PSEMHUB/ en écrivant /%50SEMHUB/ : le filtre compare le texte brut, le serveur décode. Des web shells ont été déposés sur des dizaines de systèmes.

CVE-2026-35273 (CVSS 9.8), RCE sans authentification ; contournement : `/%50SEMHUB/` au lieu de `/PSEMHUB/`
Indicateurs : `x.jsp` et `u.jsp` dans `PSEMHUB.war`, `Ple64.exe` (SIDEEYE), C2 `162.219.30[.]165`, Neo-reGeorg, MeshAgent
À faire : patch Oracle, désactiver EMHub ou retirer PSEMHUB, chercher `/PSEMHUB/` et ses variantes encodées dans les logs WebLogic

Un WAF qui lit avant de décoder ne lit rien.

Lire la fiche Source

04 LARAVEL Release

Filament 5.9 : la CSP se passe d'unsafe-inline

Filament26 septembre1 min de lecture

Filament 5.9.0 permet d'ajouter un nonce CSP à tous les scripts qu'il produit, et donc de retirer 'unsafe-inline' de script-src. L'option est désactivée par défaut et ne couvre pas les styles, dont Livewire, Alpine et TipTap ont besoin. La version apporte aussi des aides de test pour les imports et exports.

`FilamentCsp::useNonce(static fn (): string => csp_nonce());` : nonce sur chaque script, `unsafe-inline` retirable de `script-src`
Aides : `\Filament\Support\csp_nonce()` et `csp_nonce_html()` ; `style-src 'unsafe-inline'` reste requis (Livewire, Alpine, TipTap)
Filament v5.9.0 seulement (PR #20301) ; v4.14.0 reçoit les aides de test import/export et les fakers, pas le nonce

Un nonce par requête, et le script inconnu reste dehors.

Lire la fiche Source

05 IA Article

Claude Code : une session vérifie, les autres codent

asyncdot26 septembre3 min de lecture

asyncdot décrit comment faire tenir des heures de travail à Claude Code : une session coordinatrice qui ne code pas, vérifie tout en relançant les commandes et tient l'état dans un tableau de tâches externe, pendant que des sessions courtes exécutent. Le schéma est connu ; ce qui sert, ce sont les règles de vérification et les pièges concrets.

Coordinateur sans code : consignes versionnées, diffs relus, chaque commande annoncée relancée — le code de sortie fait foi
État dans un tableau de tâches externe (MCP ou API), pas dans le contexte ; vérification rouge avant de commencer, un commit par tâche
Dépôt partagé : `git commit -- <chemins>` plutôt qu'un `git commit` nu, qui embarque tout l'index

Un agent qui dit « c'est vert » n'a rien prouvé.

Lire la fiche Source

06 LLM Discussion

vLLM : n'importe quel LLM décide en un jeton

privatemode.ai24 septembre3 min de lecture

Privatemode montre comment obtenir d'un LLM ordinaire une décision typée avec une probabilité par option, en une seule passe et un seul jeton : options numérotées, réponse préremplie, lecture des logprobs sur vLLM. Sur 28 jeux de données, GLM-5.3-Flash égale Jev, un modèle entraîné pour cela. Code et banc d'essai sont publiés ; les chiffres viennent de l'éditeur.

Prompt terminé par `choice_index:` ; côté vLLM : `continue_final_message`, `add_generation_prompt: false`, `allowed_token_ids`, `logprob_token_ids`
28 jeux texte : égalité avec Jev (écart médian 0,7 point, p = 0,64) ; 180 ms depuis l'Allemagne ; 62 € le million de décisions contre 16 €
Code : `edgelesssys/privatemode-decisions` et `edgelesssys/privatemode-decisions-benchmark` — mesures publiées par l'éditeur

Une question, un jeton, une probabilité.

Lire la fiche Source

07 OUTILS Discussion

Reladraw : des diagrammes placés par des phrases

GitHub26 septembre2 min de lecture

Reladraw est un langage de diagrammes où l'on énonce la position de chaque élément par rapport aux autres, sans coordonnées ni placement automatique. Le moteur en déduit la disposition la plus compacte, de façon déterministe. Il est pensé pour que les agents de code modifient un schéma en réécrivant une phrase ; version 0.8, syntaxe encore instable.

Placement relatif : `right of`, `below`, `between … and …`, `level with` — aucune coordonnée dans le fichier
`npm install -g reladraw` puis `reladraw diagram.reladraw -o diagram.svg` ; skill : `npx skills add reladraw/reladraw -g`
Version 0.8.0, Apache-2.0, sans dépendance à l'exécution ; ni routage des flèches autour des nœuds, ni diagnostics pour l'instant

Le schéma se modifie comme on corrige une phrase.

Lire la fiche Source

VeilleTech — feed du dimanche 27 septembre