VeilleTech — 2026-10-16

01 SÉCURITÉ Faille

Next.js : deux failles RCE, 16.4.1 et 15.5.28

The Hacker News15 octobre3 min de lecture

Next.js a publié le 14 octobre une mise à jour hors calendrier qui corrige deux failles critiques d'exécution de code sans compte (CVSS 9.5 chacune) et un déni de service : l'une dans use cache des React Server Components, l'autre dans librsvg via sharp. Les correctifs sont dans la 16.4.1 et la 15.5.28, mais la 15.5.28 peut conserver un sharp 0.34.x encore vulnérable.

Corrigé en 16.4.1 et 15.5.28 · CVE-2026-96889 (SVG via sharp) et GHSA-673q-mjm6-r5xr (use cache), CVSS 9.5 chacune
Sur Next 15, vérifier npm ls sharp : il faut 0.35.5 ou plus (librsvg 2.63.2)
Server Actions : déni de service, GHSA-p3m5-59mp-jv5r · aucun contournement pour use cache ni Server Actions

Une mise à jour de Next ne met pas toujours à jour ce que Next embarque.

Lire la fiche Source

02 SYMFONY Article

Symfony : trois CVE, visez 6.4.48 et 7.4.21

Symfony15 octobre3 min de lecture

Symfony a publié le 15 octobre trois avis de déni de service sans authentification : un ReDoS dans HeaderUtils::split() via l'en-tête Cache-Control (CVE-2026-108082), une récursion non bornée dans le lexeur YAML (CVE-2026-109413) et une imbrication non bornée dans ExpressionLanguage (CVE-2026-109449). Les premiers correctifs étaient incomplets ou régressifs : il faut viser 5.4.54, 6.4.48, 7.4.21 ou 8.1.9.

CVE-2026-108082 (HttpFoundation, Cache-Control), CVE-2026-109413 (Yaml), CVE-2026-109449 (ExpressionLanguage) · sans authentification
À viser : 5.4.54, 6.4.48, 7.4.21 ou 8.1.9 · les premiers correctifs (6.4.45 à 6.4.47, 7.4.18 à 7.4.20, 8.1.6 à 8.1.8) sont incomplets ou régressifs
17 espaces dans un en-tête Cache-Control coûtent 813 ms de processeur, le temps double à chaque espace

Un simple en-tête Cache-Control suffisait à saturer le processeur.

Lire la fiche Source

03 SÉCURITÉ Faille

NGINX : cinq failles corrigées en 1.30.6 et 1.31.7

The Hacker News15 octobre4 min de lecture

NGINX 1.30.6 (stable) et 1.31.7 (mainline) corrigent cinq failles le 14 octobre : trois erreurs mémoire (CVE-2026-15176, CVE-2026-93479, CVE-2026-97205), un contournement possible du contrôle de certificat client TLS (CVE-2026-97629) et une injection d'octets en HTTP/3 (CVE-2026-95101). Chacune exige une directive précise, ce qui permet de savoir en quelques minutes si l'on est exposé.

Corrigé en 1.30.6 (stable) et 1.31.7 (mainline) · les branches plus anciennes ne reçoivent rien
Erreurs mémoire : CVE-2026-15176 (alias + rewrite + $request_filename), CVE-2026-93479 (map regex), CVE-2026-97205 (aio + SSI)
CVE-2026-97629 : ssl_session_cache shared sans ssl_session_ticket_key · CVE-2026-95101 : HTTP/3 avec proxy_request_buffering on

Cinq failles, cinq directives à chercher dans nginx -T.

Lire la fiche Source

04 SÉCURITÉ Faille

Drupal : une RCE critique dans Field UI

The Hacker News15 octobre3 min de lecture

Drupal 11.4.10, 11.3.19 et 10.6.19 corrigent CVE-2026-108097, une faille critique de Field UI qui permet d'exécuter du code PHP via des modules contribués, dont au moins un chemin sans authentification. Les branches 11.2 et antérieures, 10.5 et antérieures, 8 et 9 n'ont aucun correctif ; désinstaller field_ui protège en attendant.

CVE-2026-108097 (SA-CORE-2026-014) · corrigé en 11.4.10, 11.3.19 et 10.6.19
Aucun correctif pour 11.2.x et avant, 10.5.x et avant, 8 et 9 : 28,5 % des sites déclarés
Entity List : CVE-2026-108099, corrigé en 3.0.10, à mettre à jour séparément du cœur

Le garde-fou de 2019 n'a pas vu l'appel qui passait à côté.

Lire la fiche Source

05 SÉCURITÉ Faille

Langflow : une RCE via MCP stdio, déjà exploitée

The Hacker News15 octobre2 min de lecture

Langflow avant 1.9.0 laisse tout utilisateur connecté exécuter des commandes sur le serveur en ajoutant un serveur MCP avec le transport stdio (CVE-2026-105740, CVSS 9,9). Le capteur leurre de Previdian a enregistré 1 706 tentatives d'exploitation depuis le 19 septembre, venues de 28 adresses.

CVE-2026-105740 (GHSA-7w94-79vh-5mr2) · CVSS 9,9 · Langflow avant 1.9.0 · second défaut du même type, CVE-2026-105697, corrigé en 1.10.3
Routes : POST /api/v2/mcp/servers/{nom} puis GET /api/v2/mcp/servers?action_count=true
Exfiltration vers 146.70.211[.]112:18764 · IP 192.255.229[.]92 · cibles LANGFLOW_SECRET_KEY et LANGFLOW_SUPERUSER_PASSWORD

Un champ « commande » dans une interface est un shell qui attend son utilisateur.

Lire la fiche Source

06 PAYLOAD Release

Payload 3.91 : Node 20.18.1 mini, nodemailer 10

Payload CMS15 octobre2 min de lecture

Payload 3.91.0 (15 octobre) relève le Node minimal à 20.18.1, passe l'adaptateur email-nodemailer à nodemailer 10 et exige Node 22 pour storage-azure. Il corrige aussi plusieurs contrôles d'accès (findByID sur les brouillons, plugin SEO) et réduit la mémoire de MongoDB pour les blocs référencés.

Ruptures : Node 20.18.1 minimum · @payloadcms/storage-azure exige Node 22.0.0
email-nodemailer : nodemailer ^10, retirer @types/nodemailer si le transport maison vient de nodemailer 9
findByID contrôle l'accès aux brouillons sur la dernière version · index _parent_id sur les tables localisées (Drizzle)

Dans une version mineure, lisez d'abord la section des ruptures.

Lire la fiche Source

07 WEB Article

Astro 7.4 : un --timings pour les builds lents

Astro15 octobre3 min de lecture

Astro 7.4 ajoute astro build --timings, un rapport qui montre où le build passe son temps. Dans l'exemple officiel, paralléliser deux requêtes ramène la génération des pages de 2,10 s à 1,13 s. La version sépare aussi les services d'images de build et d'exécution, et passe le Node minimal à 22.22.0.

astro build --timings : phases, plugins Vite, Markdown, rendu des pages, images
image.service accepte { build, runtime } · experimental.parallelPrerender, ignoré avec @astrojs/cloudflare
Node 22.22.0 minimum · getFontProperties() facultatif en Astro 7, obligatoire en Astro 8

Mesurez le build avant de le réécrire.

Lire la fiche Source

08 WEB Discussion

JPEG XL contre AVIF : AVIF reste devant

jakearchibald.com15 octobre3 min de lecture

Maintenant que JPEG XL est dans tous les navigateurs majeurs, Jake Archibald compare les encodeurs avifenc 1.4.2, libjxl 0.12.0 et jixel 0.4.2. Pour le web, AVIF donne presque toujours des fichiers plus petits ; JPEG XL ne l'emporte que sur le sans perte et la recompression de JPEG existants.

Photos avec perte : JPEG XL pèse 15 à 25 % de plus à l'effort par défaut, 6 à 20 % au maximum
Captures et illustrations : de 30 à 90 % de plus · transparence : 31 à 44 % de plus avec libjxl
Recompresser un JPEG existant en JPEG XL : 9 à 20 % plus petit, sans perte supplémentaire

Mesurez sur vos images avant de croire une recommandation, la sienne comprise.

Lire la fiche Source

09 IA Article

Muse Spark Open : 816B de paramètres, 304 Go en 2 bits

Hugging Face15 octobre3 min de lecture

Meta publie Muse Spark Open, un modèle multimodal à poids ouverts de 816 milliards de paramètres (mélange d'experts, 42 milliards actifs) entraîné pour le code agentique, avec un million de tokens de contexte. Hugging Face détaille l'exécution : sous llama.cpp en 2 bits (Q2_K), il occupe 304 Go et sort 18 tokens par seconde sur un Mac M3 Ultra de 512 Go.

~816B de paramètres, 42B actifs · 256 experts par couche, 8 par token · contexte de 1 048 576 tokens
BF16 ≈ 1,5 To · NVFP4 sur un nœud B200 · Q2_K = 304 Go, 18 tokens/s sur un Mac M3 Ultra de 512 Go
llama serve -hf ggml-org/Muse-Spark-Open-816B-A42B-GGUF:Q2_K · raisonnement non désactivable (low à xhigh)

Un modèle ouvert ne veut pas dire un modèle qui tient sur votre portable.

Lire la fiche Source

10 DEVOPS Discussion

Forgejo 17.0 : webhooks à migrer, v16 meurt le 29/10

forgejo.org15 octobre3 min de lecture

Forgejo 17.0 (15 octobre) change la résolution des liens absolus dans les documents rendus et déprécie les webhooks « action run », sans migration automatique. La 16.0 s'arrête le 29 octobre 2026 ; la 17.0, non LTS, est soutenue jusqu'au 28 janvier 2027.

Rupture : liens absolus des documents rendus résolus depuis la racine du dépôt · webhooks « action run » dépréciés au profit de « workflow run »
Fin de vie : 16.0 le 29 octobre 2026 · 17.0 le 28 janvier 2027 · LTS 15.0 le 15 juillet 2027
Résumés de job : $FORGEJO_STEP_SUMMARY ou $GITHUB_STEP_SUMMARY, Forgejo Runner 13.2+ · invitations : ADD_MEMBERS_BY_INVITATIONS = true

Avec une version tous les trois mois, le calendrier fait partie de la configuration.

Lire la fiche Source

VeilleTech — feed du vendredi 16 octobre