VeilleTech — 2026-10-06

01 SÉCURITÉ Faille

Rejetto HFS : Math.random() signait la session admin

The Hacker News5 octobre1 min de lecture

Rejetto HFS 3.0.0 à 3.2.0 signait ses cookies de session avec une clé tirée de Math.random(), et exposait d'autres sorties du même générateur pendant la connexion : quelques réponses suffisent à reconstituer la clé, forger une session administrateur, puis exécuter du JavaScript côté serveur. Corrigée en 3.2.1 depuis juillet, la faille (CVE-2026-61500, CVSS 9.3) est sondée depuis le 1er octobre.

CVE-2026-61500 · GHSA-xxrm-3f86-v97j · CVSS 9.3 — HFS 3.0.0 à 3.2.0, corrigé en 3.2.1
Clé de session Koa tirée de Math.random() + sorties du même PRNG V8 dans la connexion SRP → session admin forgée → server_code
Sondes vues le 1er octobre par VulnCheck · exploit public : github.com/aramosf/CVE-2026-61500

Math.random n'est pas un secret. Il ne l'a jamais été.

Lire la fiche Source

02 SYMFONY Article

Symfony 8.2 : le CDN a son propre Cache-Control

Symfony5 octobre2 min de lecture

Symfony 8.2 gère les en-têtes Cache-Control ciblés de la RFC 9213 : une méthode cacheControl('CDN') sur la réponse pose des règles propres au CDN, distinctes de celles du navigateur. Il ajoute aussi l'en-tête Cache-Status de la RFC 9211, désactivé par défaut, qui dit si la réponse vient du cache, de l'application ou d'une revalidation.

`$response->cacheControl('CDN')` → en-tête `CDN-Cache-Control` · setMaxAge(), setPublic(), setPrivate(), setStaleIfError(), set()
Option `cache_status` du cache HTTP de Symfony (null par défaut) → en-tête `Cache-Status`, RFC 9211
Trois cas : hit avec ttl=58 · miss puis stocké · périmé revalidé par un 304 — ttl négatif = périmé servi

Une durée pour le CDN, une autre pour le navigateur. Enfin séparées.

Lire la fiche Source

03 PHP Article

Plumb note 170 000 paquets PHP, Filament l'affiche

Laravel News5 octobre2 min de lecture

L'annuaire des plugins Filament, qui dépasse 1 000 plugins communautaires, affiche désormais la note Plumb de chaque plugin. Plumb analyse les paquets PHP selon 15 contrôles répartis en trois familles (sécurité, maintenance, écosystème), suit près de 170 000 paquets Packagist, et détaille pour chaque contrôle échoué comment le corriger.

Note sur 100 · 15 contrôles · 3 familles : sécurité, maintenance, écosystème
~170 000 paquets Packagist suivis sur plumbphp.dev · formulaire pour un paquet absent
Plugin Filament privé et payant : lier son compte GitHub (plumbphp.dev/scoring)

Une note ne lit pas le code. Mais elle dit par où commencer.

Lire la fiche Source

04 DEVOPS Article

Kubernetes : du swap NVMe, trois fois plus de pods

Kubernetes5 octobre3 min de lecture

Le blog de Kubernetes publie des mesures du swap des nœuds, stable depuis la 1.34, adossé à des SSD NVMe locaux. Sur des bacs à sable d'agents, la densité double pour des Chrome headless sous gVisor et triple pour des sandbox Python ; une compilation du noyau tient dans deux fois moins de mémoire. Quand le jeu de travail actif part en swap, en revanche, les temps s'envolent.

Python sous gVisor : 80 → 240 pods · Chrome sous gVisor : 80 → 160 · Kata : 40 → 50 (CPU saturé)
Noyau Linux 6.1.1 : limite 600 → 300 Mo, 374 s contre 433 s · à 200 Mo, plus de 40 % plus lent
Kubelet : `failSwapOn: false` + `memorySwap.swapBehavior: LimitedSwap` · pods en QoS Burstable

La mémoire qui dort peut aller sur le disque. Celle qui travaille, non.

Lire la fiche Source

05 RUST Discussion

mold 3.0 : le linker passe de C++ à Rust

GitHub5 octobre2 min de lecture

mold 3.0 est la première version du linker réécrite en Rust. Elle se veut un remplacement direct de la 2.42.1 (mêmes options, mêmes cibles, même sortie hors corrections), vérifié en recompilant tous les paquets Gentoo. Ceux qui compilent mold eux-mêmes changent d'outillage : Cargo remplace CMake, et Rust 1.95 est requis.

2.42.1 = dernière version C++ · 3.0.0 = Rust, remplacement direct, performances équivalentes
Build : `cargo build --release` puis `./install-mold.sh` · Rust ≥ 1.95 · plus de CMake ni de oneTBB
Corrigés : `-entry=main` lu comme `-e ntry=main` · 8 Gio d'espace virtuel réservés au démarrage (ulimit -v)

Un linker réécrit, et rien ne doit changer. C'est tout le défi.

Lire la fiche Source

06 DUCKDB Article

DuckDB en Java : la table function bat le batch JDBC

DuckDB5 octobre2 min de lecture

Sur le blog de DuckDB, un utilisateur compare quatre façons de remplir DuckDB depuis MongoDB, sur 485 168 enregistrements : insertions par lot JDBC (3 min 37), Appender (2 min 02), table function Java parallèle (1 min 27), extension communautaire mongo (55 s). L'extension a été écartée faute de garantie de suivi ; c'est la table function Java qui est partie en production.

JDBC executeBatch : 3 min 37 (une insertion par ligne) · Appender : 2 min 02 (blocs de 2 048 lignes)
Table function Java : 1 min 27 avec `setMaxThreads(8)` et `SET preserve_insertion_order = FALSE`
Extension mongo : 55 s · code : github.com/staticlibs/duckdb_java_data_import

Laisser DuckDB tirer les données, plutôt que les lui pousser.

Lire la fiche Source

07 IA Article

ReviewBench : 219 PR pour noter votre agent de revue

GitHub Blog5 octobre3 min de lecture

GitHub publie ReviewBench, un banc d'essai ouvert pour les agents de revue de code : 219 pull requests publiques de 187 dépôts et 19 langages, une vérité terrain issue de plusieurs sources et jugée par Claude Sonnet 5 selon une grille publiée. Deux familles de métriques séparent les problèmes connus de ceux qu'un agent découvre. GitHub est à la fois auteur du banc et d'un agent classé.

219 PR · 187 dépôts · 19 langages · calqué sur 103,9 millions de PR GitHub
Juge : Claude Sonnet 5 · 96,6 % d'accord avec des ingénieurs seniors extérieurs
Test en production prédit : précision +8,0 %, rappel +13,6 %, coût par revue −8,0 %

Un agent qui trouve tout et un agent qui dérange peu ne sont pas le même agent.

Lire la fiche Source

08 PYTHON Article

TorchCodec remplace read_video et StreamReader

PyTorch5 octobre2 min de lecture

PyTorch range sa pile multimédia : TorchCodec décode et encode images, vidéo et audio, sur CPU comme sur CUDA ; TorchVision et TorchAudio ne gardent que les transformations. Les anciennes API de décodage (read_video, VideoReader, StreamReader…) sont dépréciées ou supprimées, et les trois bibliothèques ont désormais une ABI stable.

Décoder, encoder → TorchCodec · transformer → TorchVision (image, vidéo) ou TorchAudio (son)
Dépréciés ou supprimés : `torchvision.io.read_video()`, `io.VideoReader()`, `StreamReader`, `StreamWriter`
ABI stable : une version n'est plus liée à une seule version de PyTorch

Une bibliothèque pour lire, deux pour transformer. Fin du doublon.

Lire la fiche Source

VeilleTech — feed du mardi 6 octobre