VeilleTech — 2026-11-03

01 SÉCURITÉ Faille

Langflow : deux failles critiques sans compte, 1.13.0

The Hacker News2 novembre3 min de lecture

IBM publie quatre failles Langflow, dont deux critiques à 9.8 exploitables sans compte : un contournement d'authentification et une exécution de code. Les versions 1.0.0 à 1.12.8 sont touchées, seule la 1.13.0, qui coupe la connexion automatique par défaut, corrige. Un module Metasploit public vise déjà le contournement.

CVE-2026-93680 et CVE-2026-110186 : CVSS 9.8, sans compte
Touchées : Langflow 1.0.0 à 1.12.8 ; corrigé en 1.13.0
LANGFLOW_AUTO_LOGIN actif par défaut jusqu'en 1.12.8

La connexion automatique n'est pas un réglage de production.

Lire la fiche Source

02 SYMFONY Article

Symfony 8.2 : expressions compilées et validées

Symfony2 novembre2 min de lecture

Symfony 8.2 compile les expressions ExpressionLanguage en PHP au réchauffement du cache : une évaluation passe d'environ 15-30 µs à 1 µs, sans changer le code. Les expressions invalides font échouer le réchauffement, et une commande lint:expressions les contrôle en CI. Les fonctions constant() et enum() sans restriction sont dépréciées au profit d'un ConstantFunctionProvider.

Évaluation : 15-30 µs avant, environ 1 µs compilée en PHP
Nouvelle commande lint:expressions, utilisable en CI
constant() et enum() sans restriction : dépréciées en 8.2

Une expression fausse n'attendra plus la production pour se plaindre.

Lire la fiche Source

03 OAUTH Faille

CIMD : tout client MCP peut se connecter à Vercel

Vercel2 novembre1 min de lecture

Vercel MCP n'exige plus que chaque client soit approuvé à la main : un client publie un document JSON sur son domaine, et l'URL HTTPS de ce document sert de client_id OAuth. La spécification d'autorisation MCP recommande désormais cette méthode (CIMD) plutôt que l'enregistrement dynamique. En contrepartie, l'écran de consentement n'affiche plus qu'un nom d'hôte à juger.

client_id = URL HTTPS d'un document JSON hébergé par le client
La spec d'autorisation MCP recommande CIMD plutôt que DCR
Pas de badge vérifié : on approuve un nom d'hôte

Plus de liste blanche : le nom d'hôte devient votre garde-fou.

Lire la fiche Source

04 OLLAMA Article

n8n sur Qwen 1.8B local : 192 essais, 0 JSON cassé

DEV Community3 novembre3 min de lecture

Un développeur a fait tourner six workflows n8n sur Qwen 1.8B quantifié (Q4_K_M) via Ollama sur CPU : 192 exécutions, aucune en JSON invalide, mais des erreurs de contenu fréquentes (score et catégorie contradictoires dans 13 cas sur 18, total de facture inventé, réponse inventée de la FAQ). Ce qui a tenu : laisser le code, pas le modèle, décider de l'action.

192 exécutions : 0 JSON invalide, mais 7 faux « leads chauds »
Injections de prompt : 0/18 réussies, le code choisit l'action
Ne pas laisser le modèle noter : extraire des faits, calculer en code

Le JSON était valide. Les réponses, non.

Lire la fiche Source

05 CLOUDFLARE Discussion

Cloudflare DNS : builds ciblés, mémoire −85 %

Cloudflare Blog2 novembre3 min de lecture

Cloudflare a remplacé les reconstructions complètes de zones DNS par un planificateur qui choisit le plus petit build dont l'équivalence avec un build complet est prouvée. Sur 24 h, 92,95 % des builds évitent la zone complète ; la mémoire de pointe passe de 79 à 12 GiB et le délai médian de 7,7 à 3,3 s. Le déploiement s'est fait derrière un miroir comparé sur 20 % des zones.

~700 changements DNS/s ; zones de plus de 20 millions d'enregistrements
Mémoire de pointe : 79 → 12 GiB ; délai médian : 7,7 → 3,3 s
Builds complets : 7,04 % ; plus gros pic p99 : 14,6 → 1,21 min

Un doute ne devient jamais moins de travail.

Lire la fiche Source

06 PHP Article

PIE 1.5 : la CI doit nommer chaque extension PHP

Laravel News2 novembre2 min de lecture

PIE 1.5 ignore désormais l'option --allow-non-interactive-project-install : en CI, une extension manquante sans paquet désigné fait échouer l'installation, et il faut passer --select=extension=vendeur/paquet. La version ajoute aussi pie upgrade, pie search et l'installation de plusieurs extensions en une commande.

--allow-non-interactive-project-install : déprécié et ignoré en 1.5
pie install --no-interaction --no-dev --select=redis=phpredis/phpredis
Nouveautés : pie upgrade, pie search, pie check-build-tools

Votre CI ne devinera plus quel paquet installer.

Lire la fiche Source

07 IA Discussion

Astra édite 0,016 % des poids de Qwen : 7,9 à 48,1 %

rikiyat.github.io2 novembre3 min de lecture

Un billet non relu (Weight-Space Programming) montre GPT-6 Astra éditant 131 072 poids de Qwen3.5-0.8B, soit 0,016 %, sans entraînement : MATH-500 passe de 7,9 % à 48,1 %. Le gain vient surtout de la suppression des boucles de raisonnement, pas d'une compétence nouvelle : sur Gemma 3 270M, qui boucle peu, rien n'est gagné. Journaux et modèle édité sont publiés.

Qwen3.5-0.8B : 0,016 % des poids édités (131 072)
MATH-500 7,9 → 48,1 % ; IFEval 21,0 → 62,3 %
Gemma 3 270M, qui boucle peu : aucun gain (≈ +1 point)

Avant d'accuser un petit modèle d'être bête, vérifiez s'il tourne en rond.

Lire la fiche Source

08 WEB Article

robots.txt : un seul jeton contre l'entraînement IA

heise Developer2 novembre2 min de lecture

Google prévoit, à partir de 2027, de reconnaître dans robots.txt un jeton de politique commun, __usage_ai-training, issu d'un brouillon de l'IETF (groupe AIPREF), pour refuser l'entraînement des IA sans lister chaque robot. Refuser via ce jeton sans mentionner Google-Extended revient à le bloquer, alors que son autorisation explicite conditionne l'apparition dans Gemini. Source en allemand, recoupable avec le blog Google Search Central et le brouillon.

Jeton : User-Agent: __usage_ai-training
Google le prévoit à partir de 2027, d'après un brouillon IETF AIPREF
Refus via le jeton sans mention de Google-Extended = Disallow

Un jeton pour refuser, et un choix à faire pour Google-Extended.

Lire la fiche Source

VeilleTech — feed du mardi 3 novembre