VeilleTech — 2026-10-18

01 OAUTH Faille

ConnectWise Cloud Backup : 173 tenants M365 touchés

The Hacker News17 octobre3 min de lecture

Un identifiant volé de l'application ConnectWise Cloud Backup (ex-SkyKick) a servi à obtenir des jetons Microsoft Graph dans au moins 173 tenants Microsoft 365, selon Huntress. L'application a des droits étendus sur les boîtes mail, les fichiers, Teams et l'annuaire de chaque client où elle est installée ; ConnectWise a fermé son accès en attendant la fin de l'enquête.

AppId 506e08f9-6e9a-4da4-942b-a099a03644ae · IP 144.172.64.128 · 15 octobre, 06:13 à 08:34 UTC
Entra, journaux de connexion, onglet Connexions de principal de service : filtrer sur l'AppId ; chercher les secrets ajoutés depuis le 13 octobre
Désactiver l'application : les jetons déjà émis restent valides 90 minutes ; révoquer les sessions utilisateur ne suffit pas

Quand la clé de l'application fuit, chaque client devient un tiroir ouvert.

Lire la fiche Source

02 IA Discussion

DeepSeek V4.1 Flash 1017, Search payant le 31/10

api-docs.deepseek.com17 octobre1 min de lecture

DeepSeek publie V4.1 Flash 1017, un instantané de son modèle Flash annoncé comme plus performant, plus rapide à finir une tâche et plus concis que le précédent ; les poids sont sur Hugging Face et ModelScope. Les API Search et Fetch s'ouvrent à tous à 0,75 $ les 1 000 appels, gratuites via le harnais DeepSeek, Claude Code et Codex jusqu'au 31 octobre 2026, 16 h UTC.

DeepSeek-V4.1-Flash-1017 · poids : huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash-1017
Search et Fetch : 0,75 $ les 1 000 appels par point d'accès · facturation dès le 31 octobre 2026, 16:00 UTC
DeepSeek Harness v0.2.1-rc.1 ou plus récent recommandé

Un modèle moins bavard coûte moins cher à chaque tour de boucle.

Lire la fiche Source

03 SÉCURITÉ Faille

MALFEX : imgdecode, le paquet npm qui revient

The Hacker News17 octobre3 min de lecture

Après le retrait de deux de ses paquets par npm, l'opérateur de la campagne MALFEX en a republié des remplaçants en moins de deux jours, dont imgdecode, encore en ligne en version 1.0.3 avec 979 téléchargements. Sous Windows, une DLL télécharge du code chiffré depuis GitHub et l'injecte dans dllhost.exe, avant un voleur d'identifiants et un outil d'accès à distance.

Paquets : cdn-img-fetch, img-to-native, native-runner, runhelper, imgbundle, imgdecode (1.0.3, en ligne le 17 octobre)
Traces Windows : %APPDATA%\Microsoft\Windows\node_runtime_helper.exe · tâche planifiée MicrosoftEdgeUpdateService
Serveur de commande : 104.234.65.75, port 7007 (la source écrit aussi 700)

Désactiver les scripts d'installation ne suffit plus : le code attend le require.

Lire la fiche Source

04 NODE Article

Node.js le 21/10, CouchDB, Postgres 19 : les dates

heise Developer17 octobre3 min de lecture

Une brève de heise Developer rassemble plusieurs échéances : mises à jour de sécurité Node.js annoncées pour le 21 octobre, détails de six CVE CouchDB le 19 octobre, version finale de Postgres 19 visée le 19 novembre, Symfony 8.2 attendue en novembre. Python 3.16 alpha 1, pnpm 12.13 et PyPy 8.0.1 complètent le tour.

Node.js : mises à jour de sécurité annoncées le 21 octobre 2026 · versions 24.22 et 26.12 sorties
CouchDB 3.5.3 : six CVE, dont CVE-2026-86471 et CVE-2026-107755 · détails le 19 octobre
Postgres 19 RC 1 · version finale prévue le 19 novembre 2026

Trois dates à cocher avant de lancer la semaine.

Lire la fiche Source

05 LLM Discussion

llmspeed : estimer un LLM local avant d'acheter

llmspeed17 octobre1 min de lecture

llmspeed est un site qui estime la vitesse d'un modèle local sur 30 configurations matérielles et 15 modèles. Les chiffres sont mesurés par la communauté, déduits de montages voisins ou projetés d'après les spécifications, pour un prompt court sur un seul appareil.

30 configurations matérielles · 15 modèles · code ouvert : github.com/nicorobinreal/llmspeed
Estimation pour un prompt court, sur un seul appareil : ni long contexte, ni plusieurs cartes
À recouper avec localscore.ai, puis avec llama-bench sur sa propre quantification

Une estimation choisit la liste courte, pas la carte bancaire.

Lire la fiche Source

06 OUTILS Discussion

Pele : Mermaid en SVG, sans dépendance

pele.run17 octobre1 min de lecture

Pele, développé pour Obsidian, transforme la syntaxe Mermaid en SVG avec zéro dépendance. Le projet annonce 230 ko compressés contre 1,6 Mo pour Mermaid.js et un rendu en 0,05 à 0,3 ms contre 6 à 82 ms ; le thème se règle avec des variables CSS.

npm install pele · import { render } from 'pele' · render() renvoie { svg }
230 ko gzip contre 1,6 Mo · 0 dépendance contre 23 · 0,05 à 0,3 ms contre 6 à 82 ms (mesures du projet)
Thème par variables CSS (--pele-bg, --pele-fg, --pele-line…) · tous les types de Mermaid 12.1.0

Un diagramme n'a pas besoin d'un mégaoctet pour s'afficher.

Lire la fiche Source

VeilleTech — feed du dimanche 18 octobre