VeilleTech — 2026-11-13

01 SÉCURITÉ Faille

GitHub : 4 837 comptes volés pillent les secrets de CI

The Hacker News12 novembre4 min de lecture

Depuis le 10 novembre, un attaquant utilise 4 837 comptes GitHub volés pour pousser un voleur de secrets dans les dépôts où ils peuvent écrire ; il a tourné dans au moins 1 806 dépôts selon Aikido Security. Il emporte tout ce qu'un runner de CI peut atteindre et pose sur AWS et Azure des accès qui survivent à la rotation des jetons. Un paquet Packagist et deux modules Go sont touchés.

Indices : branche wfx-docs, PR « docs: dependency audit notes »
Packagist : digitalelvis/neuronai-studio 3.14.3 piégé, épingler 3.14.2
Persistance : clés IAM, rôles AWS ouverts, identités Azure wfx-ci-*

Un compte qui a ouvert le test est compromis, même sans vol.

Lire la fiche Source

02 SÉCURITÉ Faille

Node.js : 16 failles, HTTP/2 et HTTPS fuient la mémoire

The Hacker News12 novembre2 min de lecture

Node.js 22.23.5, 24.22.3 et 26.13.1 corrigent seize failles, dont sept hautes, toutes dans le code serveur HTTP/2, HTTPS et TLS du runtime. Un client sans compte peut faire planter un serveur HTTP/2 par défaut, ou lire la mémoire d'autres connexions, clés TLS comprises dans le cas HTTPS. Aucun contournement n'est proposé, et les branches 20 et 25 ne seront pas corrigées.

Corrigé : 22.23.5, 24.22.3, 26.13.1 ; rien pour 20.x et 25.x
CVE-2026-123863 : un client fait planter un serveur HTTP/2 par défaut
CVE-2026-123864 : flushHeaders() puis end() exposent la mémoire HTTPS

Sept failles hautes, aucune parade : seule la mise à jour compte.

Lire la fiche Source

03 SÉCURITÉ Faille

Git 2.56.1 : un clone récursif peut exécuter du code

GitHub Blog10 novembre3 min de lecture

Git 2.56.1 et six versions de maintenance corrigent six failles, dont CVE-2026-111760 : un chemin trop long, tronqué après vérification, permet d'exécuter du code pendant un clone récursif. Les autres touchent les références annoncées par un serveur, les fusions, les patchs binaires et fast-import. Postes, CI et services qui manipulent des dépôts tiers sont concernés.

Corrigé : 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3, 2.50.2
CVE-2026-111760 : code exécuté pendant un clone récursif
GHES : 3.19.15, 3.20.11, 3.21.9 ou 3.22.4

Un clone récursif d'inconnu suffisait : Git se met à jour aujourd'hui.

Lire la fiche Source

04 SÉCURITÉ Faille

CSP : form-action 'self' laisse voler les mots de passe

PortSwigger Research11 novembre2 min de lecture

Gareth Heyes (PortSwigger) montre qu'une CSP qui bloque tout script laisse quand même une injection HTML voler des identifiants : la directive form-action n'hérite pas de default-src, et même form-action 'self' autorise un formulaire qui se renvoie à la page. Le mot de passe sort dans l'en-tête Referer d'une redirection, que la CSP ne contrôle pas.

form-action ne retombe jamais sur default-src : à déclarer
Même form-action 'self' laisse passer un formulaire renvoyé à la page
Sortie par le Referer d'un meta refresh : aucun script, CSP muette

Une CSP stricte n'excuse pas une injection HTML.

Lire la fiche Source

05 SYMFONY Article

Symfony 8.2 : Messenger chaîne et compense ses messages

Symfony11 novembre3 min de lecture

Symfony 8.2 ajoute à Messenger des stamps qui déclarent un flux de messages dès le premier envoi : ChainStamp pour l'enchaînement, DispatchOnFailureStamp pour la compensation, des identifiants de causalité et de corrélation pour le suivi. Le transport sync:// gagne aussi les tentatives et le failure transport, jusqu'ici ignorés sans avertissement.

ChainStamp : l'étape suivante part après tous les handlers
DispatchOnFailureStamp : une seule compensation pour tout le flux
sync:// accepte enfin retry et failure_transport

Le flux se lit à l'envoi, plus dans dix handlers.

Lire la fiche Source

06 LARAVEL Article

Laravel 13.40 : savoir si le réplica a reçu l'écriture

Laravel News12 novembre3 min de lecture

Laravel 13.40 ajoute getLastCommitId(), hasCommitId() et mergeCommitIds() : l'application relève la position de réplication du primaire après une écriture, puis demande au réplica s'il l'a atteinte. La fenêtre fixe de deux secondes de PreventStaleDatabaseReads cède la place à une vérification exacte, sur MySQL, MariaDB et PostgreSQL.

DB::getLastCommitId() puis DB::hasCommitId($id, wait: 2)
MySQL : log_bin, gtid_mode = ON, enforce_gtid_consistency = ON
wait exige PostgreSQL 19 ; SQLite et SQL Server exclus

Plus de délai deviné : on demande au réplica où il en est.

Lire la fiche Source

07 RUST Discussion

Rust 1.100 : type never stable, cooldown dans Cargo

blog.rust-lang.org12 novembre3 min de lecture

Rust 1.100 stabilise le type never (!) après dix ans, au prix d'un changement du type de repli dans les éditions antérieures à 2024. Cargo gagne un délai minimal avant d'adopter une version fraîchement publiée, une défense partielle contre les paquets piégés. L'API Allocator, DropGuard et un avertissement pour dépendances inutilisées complètent la version.

Type ! stable ; repli () → ! aussi avant l'édition 2024
[registry] global-min-publish-age = "3 days"
cargo install ignore le délai : épingler avec foo@1.2.3

Attendre trois jours avant d'adopter une crate tient en une ligne de config.

Lire la fiche Source

08 POSTGRES Article

OrioleDB : un Postgres sans tuples morts, en bêta

Supabase11 novembre3 min de lecture

OrioleDB, moteur de stockage open source pour Postgres, passe en bêta publique sur Supabase : journal d'annulation au lieu des tuples morts, tables organisées par clé primaire, identifiants de transaction sur 64 bits. Sur le banc de l'éditeur, il fait environ 1,8 fois mieux que le stockage classique quand les données dépassent la mémoire. Pas encore prêt pour la production.

8XL, données > mémoire : 113 850 transactions/min, environ 1,8× le heap
OrioleDB beta19 sur Postgres 17.11, choisi à la création du projet
En local : supabase init --use-orioledb (CLI ≥ 2.119.0)

Les tables qui gonflent ont peut-être trouvé leur moteur.

Lire la fiche Source

09 DEVOPS Article

AWS Emulator : tester 200 services AWS sans compte

AWS11 novembre3 min de lecture

AWS publie AWS Emulator, un émulateur local et gratuit de ses API, pour tester sans compte sur un poste ou en CI. Écrit et testé par des agents à partir de plus de 400 modèles d'API couvrant plus de 200 services, il est vérifié contre le vrai AWS et publie un score de fidélité par service. Code sous CC0, télémétrie activée par défaut.

Linux : paquet RPM ou Debian ; macOS et Windows : via Docker
Télémétrie active : --telemetry off ou EMULATOR_TELEMETRY=off
Ni production ni tests de sécurité ; fidélité publiée par service

Vos tests AWS n'ont plus besoin d'AWS.

Lire la fiche Source

10 IA Discussion

smolmaxxing : un modèle 16B sur une box TV à 1 Go

GitHub12 novembre3 min de lecture

Le projet smolmaxxing fait tourner Ling-mini-2.0, un mélange d'experts de 16 milliards de paramètres, sur une box TV Xiaomi qui n'a qu'environ 1 Go de mémoire utile, à 5,1 tokens par seconde. Le principe : ne garder en RAM que les experts les plus sollicités et lire les autres dans la flash à la demande. Tout est publié sous forme de patch llama.cpp, chiffres mesurés sur l'appareil.

Box Xiaomi (≈1 Go utile) : Ling-mini-2.0 16B à 5,1 tok/s
Experts MoE lus dans la flash, préchargés couche par couche
Patch llama.cpp sous MIT : llama.cpp standard ne charge pas ces GGUF

Un mélange d'experts n'a besoin en mémoire que des experts qui servent.

Lire la fiche Source

VeilleTech — feed du vendredi 13 novembre