CVE-2026-48017
8.8 · Élevée
Exécution de code à distance dans DbGate via l’endpoint loadReader
Tout utilisateur authentifié de DbGate pouvait injecter du JavaScript dans un script exécuté par le serveur, puis sortir du bac à sable require = null.
Domaine
Plateformes de données
Orchestrateurs, clients de bases de données, notebooks et entrepôts.
4 analyses, 4 vulnérabilités
CVE-2026-40864
À la une 5.4 · Moyenne
Contournement XSRF dans JupyterHub via les requêtes Sec-Fetch-Mode: no-cors
JupyterHub 4.1.0 à 5.4.4 sautait le contrôle XSRF pour toute requête no-cors : une page d’une autre origine pouvait soumettre les formulaires du Hub.
CVE-2026-41490
8.3 · Élevée
Injection SQL dans les I/O managers de Dagster via les clés de partition dynamiques
Les I/O managers DuckDB, Snowflake, BigQuery et DeltaLake de Dagster recopiaient les clés de partition dynamiques dans le SQL : ajouter une partition suffisait.
CVE-2026-33980
8.3 · ÉlevéeInjection KQL dans Azure Data Explorer MCP Server via table_name
Trois outils de métadonnées d’adx-mcp-server inséraient table_name dans du KQL : un agent pouvait lancer n’importe quelle requête sans passer par execute_query.
Vulnérabilités
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-48017 | DbGate | Injection de code dans loadReader via functionName | 8.8 Élevée | |
| CVE-2026-40864 | JupyterHub | Contournement XSRF pour les requêtes no-cors | 5.4 Moyenne | |
| CVE-2026-41490 | Dagster | Injection SQL via les clés de partition dynamiques des I/O managers | 8.3 Élevée | |
| CVE-2026-33980 | Azure Data Explorer MCP Server | Injection KQL via table_name dans trois outils de métadonnées | 8.3 Élevée |