Langage et paquet
Projets Python.
7 analyses, 7 vulnérabilités
CVE-2026-33625
8.8 · ÉlevéeUn quantization_config piégé dans un modèle Hugging Face faisait passer quant_dtype à eval() dans LMDeploy : charger le modèle exécutait le code de l’attaquant.
CVE-2026-77262
8.6 · ÉlevéeMCP Atlassian ouvrait tout file_path passé à son outil d’envoi Confluence : un appelant pouvait lire les fichiers de l’hôte et les exfiltrer en pièce jointe.
GHSA-wg9g-w2j2-8pgr
7.8 · ÉlevéeLe NumpyReader de MONAI chargeait les fichiers .npy et .npz avec allow_pickle=True : un fichier piégé dans un jeu d’imagerie médicale exécutait du code.
CVE-2026-40864
À la une 5.4 · MoyenneJupyterHub 4.1.0 à 5.4.4 sautait le contrôle XSRF pour toute requête no-cors : une page d’une autre origine pouvait soumettre les formulaires du Hub.
CVE-2026-41490
8.3 · ÉlevéeLes I/O managers DuckDB, Snowflake, BigQuery et DeltaLake de Dagster recopiaient les clés de partition dynamiques dans le SQL : ajouter une partition suffisait.
CVE-2026-33980
8.3 · ÉlevéeTrois outils de métadonnées d’adx-mcp-server inséraient table_name dans du KQL : un agent pouvait lancer n’importe quelle requête sans passer par execute_query.
CVE-2026-32247
8.1 · ÉlevéeGraphiti insérait les labels des filtres de recherche dans du Cypher brut, permettant de contourner le filtre de groupe.
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-33625 | LMDeploy | eval() du quant_dtype issu du quantization_config du modèle | 8.8 Élevée | |
| CVE-2026-77262 | MCP Atlassian | Path traversal dans confluence_upload_attachment | 8.6 Élevée | |
| GHSA-wg9g-w2j2-8pgr | MONAI | Désérialisation non sûre dans NumpyReader | 7.8 Élevée | |
| CVE-2026-40864 | JupyterHub | Contournement XSRF pour les requêtes no-cors | 5.4 Moyenne | |
| CVE-2026-41490 | Dagster | Injection SQL via les clés de partition dynamiques des I/O managers | 8.3 Élevée | |
| CVE-2026-33980 | Azure Data Explorer MCP Server | Injection KQL via table_name dans trois outils de métadonnées | 8.3 Élevée | |
| CVE-2026-32247 | Graphiti | Injection Cypher via SearchFilters.node_labels | 8.1 Élevée |
