Vulnérabilités

Les vulnérabilités critiques que le gate connaît déjà.

Toutes les six heures, Attestkeep récupère la Trivy vulnerability database, celle que le scanner lit dans votre cluster. Voici les entrées que la database a classées critiques cette semaine, et quand. Pas quand la nouvelle est tombée : quand le gate l'a su.

Dernière mise à jour de la database27 oct. 2026, 19:17 UTC

29critique, 7 derniers jours 411élevée, 7 derniers jours 649moyenne, 7 derniers jours 145faible, 7 derniers jours

ID	Vulnérabilité	Classée depuis	Publiée
CVE-2026-110249 faible	thunderbird: Denial-of-service in the Exchange email component	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-110036 faible	device-mapper-persistent-data: device-mapper-persistent-data: Denial of Service via crafted block indices	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-88834 faible	busybox: busybox: httpd user existence oracle in non-default shadow-disabled builds	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-105460 faible	bluez: bluez: stack-based out-of-bounds read in btmon via unvalidated num_keys in return_link_keys_evt()	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-107832 faible	fastify: fastify: Header validation bypass via incomplete schema case normalization	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-109976 faible	clevis: clevis: integer underflow in PKCS#11 data socket handler crashes daemon on unbound client connection	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-109854 faible	m17n-lib: Uninitialized stack read in ISO-2022 Compound Text UTF-8 decoding	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-82632 faible	Incorrect Authorization in GitLab	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-103549 faible	Incorrect Authorization in GitLab	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-100104 faible	Server-Side Request Forgery (SSRF) in GitLab	au moins depuis le 24 oct. 2026build de 07:11 UTC	13 oct. 2026
CVE-2026-95838 faible	github.com/containerd/containerd: containerd: Denial of Service via repeated directory traversals during layer unpacking	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109282 faible	ImageMagick: ImageMagick: Denial of Service via type confusion in INFO, JSON, and YAML encoders	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109280 faible	ImageMagick: ImageMagick: Denial of Service via use-after-free in -fx option	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109279 faible	ImageMagick: ImageMagick: Denial of Service via race condition during security policy access	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109277 faible	ImageMagick: ImageMagick: Security policy bypass via -script operation	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109274 faible	ImageMagick: ImageMagick: Security policy bypass via TOCTOU symlink race condition	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109273 faible	ImageMagick: ImageMagick: Information disclosure via crafted PostScript file	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109272 faible	ImageMagick: ImageMagick: Denial of Service via crafted PostScript file	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109271 faible	ImageMagick: ImageMagick: Denial of service via use-after-free in the WBINFO decoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109270 faible	ImageMagick: ImageMagick: Denial of Service via memory leak in the -process option	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109268 faible	ImageMagick: ImageMagick: Denial of Service via use-after-free in PDF writer	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109267 faible	ImageMagick: ImageMagick: Denial of Service via stack overflow in MSL decoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109264 faible	ImageMagick: ImageMagick: Denial of Service via uncontrolled recursion in MVG decoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109263 faible	ImageMagick: ImageMagick: Denial of Service via memory leak in YUV encoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109261 faible	ImageMagick: ImageMagick: Denial of Service via memory leak in GIF encoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109260 faible	ImageMagick: ImageMagick: Denial of Service via memory leak in PNG encoder	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109258 faible	ImageMagick: ImageMagick: Denial of Service via invalid memory free in fx operation	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109247 faible	freerdp: freerdp: Information disclosure via clipboard path traversal	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109241 faible	freerdp: freerdp: Denial of Service via NULL pointer dereference in video redirection channel	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109240 faible	freerdp: freerdp: Denial of Service via unvalidated buffer size in USB redirection	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-105274 faible	hex_core: hex: rebar3: hex_core: Denial of Service via uncontrolled decompression of repository responses	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-109195 faible	quay: Repository auto-prune policy UUID IDOR in Quay API	au moins depuis le 24 oct. 2026build de 07:11 UTC	12 oct. 2026
CVE-2026-107848 faible	Contao: Cross-site request forgery in custom backend actions	au moins depuis le 24 oct. 2026build de 07:11 UTC	9 oct. 2026
GHSA-w2ch-4xgr-22ww faible	Vikunja: Task relation deletion does not check read access to the other task, allowing cross-project relation removal	au moins depuis le 24 oct. 2026build de 07:11 UTC	9 oct. 2026
CVE-2026-56857 faible	os: golang: golang: Directory traversal via Windows junction handling	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107727 faible	strawberry-graphql: strawberry-graphql: Denial of service via uncleared completed subscriptions	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107296 faible	msgpack5: Decoding negative int64 values mutates the input buffer	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107676 faible	ffmpeg: ffmpeg: Information disclosure via uninitialized memory in HDR metadata processing	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107289 faible	pydantic-ai: pydantic-ai: Information disclosure via cloud metadata blocklist bypass	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107288 faible	pydantic-ai: pydantic-ai: Domain blocklist bypass via unnormalized hostname comparison	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107570 faible	mutt: mutt: Memory corruption via crafted Content-Type header in email template	au moins depuis le 24 oct. 2026build de 07:11 UTC	8 oct. 2026
CVE-2026-107283 faible	The AsyncHttpClient (AHC) library allows Java applications to easily e ...	au moins depuis le 24 oct. 2026build de 07:11 UTC	7 oct. 2026
CVE-2026-107170 faible	m17n-lib: NULL dereference in minput_open_im() after failed m17n_init()	au moins depuis le 24 oct. 2026build de 07:11 UTC	7 oct. 2026
CVE-2026-106589 faible	openssh: OpenSSH: Privilege escalation via retained root privileges in sshd-session	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106588 faible	openssh: OpenSSH: Loss of process sandboxing via macOS SDK builds	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106587 faible	openssh: OpenSSH: Improper access control via misinterpretation of disabled configuration options	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106584 faible	openssh: openssh: Incorrect certificate expiration times via Daylight Saving Time mishandling	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106582 faible	openssh: openssh: Information disclosure via shared compression side-channel	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106449 faible	org.lz4/lz4-java: lz4-java: Denial of Service via stack exhaustion from empty blocks	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026
CVE-2026-106427 faible	chromium-browser: Confused deputy in Mobile	au moins depuis le 24 oct. 2026build de 07:11 UTC	6 oct. 2026

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.