Dernière édition ·
Le conseil de Nvidia ouvre une enquête indépendante sur son PDG, tandis qu'Anthropic sécurise 1,7 GW de production électrique au gaz. Le marché crypto a subi plus d'un milliard de dollars de liquidations, et une étude révèle des secrets exposés par Claude Code sur GitHub.
13 actus
Apiiro a trouvé 1 379 secrets dans des fichiers .claude/settings.local.json publics, enregistrés quand l'utilisateur choisit « Yes, and don't ask again ». Les chercheurs recommandent de faire tourner les clés exposées puis de retirer le fichier du suivi git.
La version 1.0.107 permet d'ouvrir la session dans VS Code avec /code, unifie les réglages dans un tableau /settings et donne accès à GPT-6.1 Terra pour les comptes éligibles.
Les sessions d'agents gérés traitent plusieurs sous-questions à la fois, l'intégration GitHub gagne des listes d'autorisation et de blocage de dépôts, et l'outil shell gère mieux CRLF et Unicode.
La release du 8 novembre corrige le HMR Vite, les devtools et les source maps des routes découpées, et exige désormais Node 20.19+ ou 22.12+ ainsi que Vite 6.
Le bitcoin est descendu vers 73 761 $ avant de repasser au-dessus de 75 000 $, et l'ether a cassé les 2 100 $. Plus d'un milliard de dollars de positions ont été liquidées en 24 heures, dont 913 M$ de positions longues selon CoinGlass.
Le sénateur américain Richard Blumenthal a demandé des documents à plusieurs acteurs crypto, dont Binance, Tether et World Liberty Financial, d'ici le 4 janvier 2027, sur fond de pression réglementaire accrue après les midterms.
Le conseil d'administration enquête après des informations selon lesquelles Jensen Huang aurait été la cible d'un effort de renseignement étranger. Il dit n'avoir aucune raison de penser que des secrets de Nvidia ont été compromis et maintient sa confiance au PDG.
Selon le Financial Times, Anthropic a repris des commandes de générateurs Caterpillar passées par OnePWR Solutions pour alimenter ses data centers, sans racheter le fournisseur.
Lors de la création ou de l'import d'un client avec les services d'autorisation activés, Keycloak ne nettoie pas un attribut de session interne. Un attaquant authentifié disposant de droits de gestion des clients peut ainsi téléverser une politique JavaScript exécutée sur le serveur, jusqu'à compromettre le système.
Les versions 14.0.0 à 16.1.3 d'OpenAM permettent à un attaquant non authentifié de lire des jetons de session actifs depuis le WebSocket de notification, ce qui ouvre la voie au détournement de comptes utilisateurs et administrateurs. Le même avis de la version 16.1.4 corrige aussi un contournement d'authentification SAML (CVE-2026-123550, CVSS 9,8).
Dans Kyverno 1.19.1, des séquences d'échappement malformées dans le paramètre urlPath permettent de contourner la restriction d'espace de noms des appels apiCall. Un locataire peut alors agir avec le compte de service du contrôleur d'admission et s'élever jusqu'aux droits d'administrateur du cluster ; la version 1.19.2 corrige le problème.
Un dépassement d'entier dans le chargeur ICO d'imgproxy, des versions 4.0.0 à 4.0.15, permet à un attaquant distant de corrompre la mémoire avec une image forgée. L'exploitation peut faire planter le service ou conduire à une exécution de code ; la version 4.0.16 corrige la faille.
Les versions 7.0.1 à 8.3.x d'OpenEMR ne révoquent pas les jetons d'accès à usage unique et ne limitent pas les tentatives de saisie du code PIN. Un attaquant qui intercepte un jeton peut le réutiliser ou deviner le PIN pour ouvrir des sessions exposant des données de santé ; la version 8.4.0 corrige la faille.