Vulnérabilités

Les vulnérabilités critiques que le gate connaît déjà.

Toutes les six heures, Attestkeep récupère la Trivy vulnerability database, celle que le scanner lit dans votre cluster. Voici les entrées que la database a classées critiques cette semaine, et quand. Pas quand la nouvelle est tombée : quand le gate l'a su.

Dernière mise à jour de la database28 oct. 2026, 01:21 UTC

27critique, 7 derniers jours 324élevée, 7 derniers jours 661moyenne, 7 derniers jours 104faible, 7 derniers jours

ID	Vulnérabilité	Classée depuis	Publiée
CVE-2026-105267 moyenne	code.gitea.io/gitea: Gitea: Unauthorized release deletion via tag deletion endpoint	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-104633 moyenne	code.gitea.io/gitea: Gitea: Denial of Service via unbounded pagination loop during repository migration	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-101023 moyenne	code.gitea.io/gitea: Gitea: Prolonged access via improper OAuth2 token type validation	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-19029 moyenne	hdf5: HDF5: Denial of Service via crafted file in scale-offset filter	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106586 moyenne	openssh: OpenSSH: Security restriction bypass via unenforced restrict directive in tunnel forwarding	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106585 moyenne	openssh: openssh: Denial of service via oversized decompressed packets	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106552 moyenne	openssh: openssh: Arbitrary file write via directory traversal during sftp recursive copy	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106494 moyenne	@backstage/backend-defaults: @backstage/backend-defaults: Content injection via crafted cloud storage object names	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106493 moyenne	backstage: Backstage: Information disclosure via improper object path validation in cloud storage catalog providers	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106492 moyenne	@backstage/backend-defaults: @backstage/backend-defaults: Access control bypass via improper service credential delegation	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106491 moyenne	plugin-proxy-backend: plugin-proxy-backend: Request forwarding outside configured base path via crafted URL	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106490 moyenne	Backstage: Improper input validation in TechDocs static content requests	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106489 moyenne	@backstage/plugin-techdocs-backend: Backstage: Information disclosure via improper authorization in TechDocs backend	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106487 moyenne	plugin-kubernetes-backend: plugin-kubernetes-backend: Information disclosure via catalog cluster authentication handling	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106463 moyenne	@backstage/plugin-catalog-backend-module-gitlab: Backstage plugin-catalog-backend-module-gitlab: Unauthorized access via improper GitLab user ingestion	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106462 moyenne	backstage: Backstage: Privilege escalation via improper credential boundary enforcement	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106461 moyenne	plugin-scaffolder-backend: plugin-scaffolder-backend: Information disclosure via incorrect authorization in task listing	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106460 moyenne	@backstage/plugin-auth-node: @backstage/plugin-auth-node: Privilege escalation via improper email verification	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106458 moyenne	Backstage: Inconsistent repository filtering in Bitbucket Server catalog event updates	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106456 moyenne	plugin-proxy-backend: plugin-proxy-backend: Authentication bypass via overlapping proxy routes	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106455 moyenne	@backstage/plugin-techdocs-node: @backstage/plugin-techdocs-node: Information disclosure via improper MkDocs configuration validation	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-104045 moyenne	sssd: sssd: Denial of Service via race condition in autofs responder	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-96589 moyenne	Gitea private repository access retained after rejected transfer	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-96400 moyenne	Gitea migration SSRF to reserved addresses through ALLOWED_DOMAINS	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-95112 moyenne	Gitea issue reference parsing CPU exhaustion	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-94114 moyenne	org.apache.bcel/bcel: Apache Commons BCEL: Security verification bypass via unvalidated class caching	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-76061 moyenne	cri-o: CRI-O: bind_mount_prefix intermediate-symlink prefix bypass	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106454 moyenne	twisted: Twisted: Denial of Service via regular expression backtracking in IMAP search patterns	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106453 moyenne	org.lz4/lz4-java: lz4-java: Denial of Service via untrusted decompressed length header	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106452 moyenne	org.lz4/lz4-java: lz4-java: Denial of Service via excessive memory allocation	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106451 moyenne	org.lz4/lz4-java: lz4-java: Arbitrary code execution via insecure temporary file handling	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106450 moyenne	org.lz4/lz4-java: lz4-java: Denial of Service via excessive memory allocation from crafted compressed streams	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106444 moyenne	handlebars: Handlebars: Cross-Site Scripting via unescaped closing script tags in precompiled templates	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-105111 moyenne	org.apache.bcel/bcel: Apache Commons BCEL: Stored Cross-Site Scripting via untrusted class files in Class2HTML	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-103667 moyenne	Gitea container registry stored XSS through blob media type	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-103008 moyenne	elasticsearch: elasticsearch: Denial of Service via uncontrolled recursion in scripted runtime fields	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-103006 moyenne	elasticsearch: Elasticsearch: Denial of Service via deeply nested search aggregations	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-103005 moyenne	elasticsearch: Elasticsearch: Denial of Service via excessive memory allocation in connector descriptions	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102412 moyenne	Incorrect Authorization in Kibana Leading to Sensitive Information Disclosure	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102411 moyenne	elasticsearch: Elasticsearch: Denial of Service via excessive memory allocation during index template retrieval	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102410 moyenne	Missing Authorization in Kibana Leading to Information Disclosure	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102409 moyenne	elasticsearch: Elasticsearch: Denial of Service via uncontrolled recursion	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102408 moyenne	elasticsearch: elasticsearch: Denial of Service via crafted regular expressions in ES\|QL CHUNK function	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102407 moyenne	elasticsearch: elasticsearch: unauthorized data modification via Modify Data Streams API	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-102404 moyenne	elasticsearch: Elasticsearch: Denial of Service via uncontrolled memory consumption from crafted queries	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-101029 moyenne	Gitea migration and pull mirror SSRF through multi-answer DNS	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-83550 moyenne	postgres-exporter: net/http/pprof exposed on metrics listener	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106425 moyenne	chromium-browser: Missing authorization in BrowserTag	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106424 moyenne	chromium-browser: Information leak in Audio	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106420 moyenne	chromium-browser: Incorrect calculation in API	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.