Le 16 octobre 2026, NVD a publié quatre CVE notées 9.8 sur des projets open source qu'on déploie soi-même : une plateforme de chat LLM, un outil d'APM, un socle d'administration et un serveur multimédia.
Aucune n'est une faille subtile. Ce sont les erreurs les plus anciennes du métier : un mot de passe administrateur par défaut, un secret de signature publié dans le dépôt, des API qu'aucun contrôle d'authentification ne protège. Elles méritent un article parce qu'elles illustrent un angle mort des outils de veille, expliqué plus bas.
| Projet | CVE | Faille | Versions (NVD) |
|---|---|---|---|
| LangChat | CVE-2026-111704 | API REST sans authentification (CWE-306) | jusqu'au commit 2a6285a |
| DataBuff ai-apm-web | CVE-2026-111693 | Identifiants admin par défaut (CWE-1392) | ≤ 0.1.10 |
| Simple Admin Core | CVE-2026-111690 | Secret JWT codé en dur (CWE-321) | ≤ 1.8.7 |
| Misaka Danmu Server | CVE-2026-111643 | Endpoint de configuration non protégé (CWE-306) | ≤ 2.8.9 |
Toutes : CVSS 3.1 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) et CVSS 4.0 9.3, publiés par VulnCheck (CNA). Aucune n'est au CISA KEV à la date de rédaction. NVD ne donne aucune version corrigée.
LangChat — CVE-2026-111704
Plateforme de chat et d'agents IA. Aucun intercepteur Sa-Token n'est enregistré : les contrôleurs REST répondent sans authentification. Selon la description NVD, une requête sur /api/v1/auth/users renvoie les mots de passe en clair, et l'API permet de récupérer les clés API des fournisseurs de LLM, de créer des comptes super-administrateur et de modifier ou supprimer des données.
Les clés API LLM méritent une attention particulière : volées, elles servent à consommer du crédit à tes frais ou à faire tourner des usages abusifs sous ton compte. Fais-les tourner si une instance a été exposée, même sans trace d'intrusion.
DataBuff ai-apm-web — CVE-2026-111693
Outil d'observabilité applicative. Le compte intégré admin est livré avec un mot de passe par défaut documenté dans le code, que la description NVD cite en toutes lettres. Une requête de connexion suffit pour obtenir un jeton administrateur et accéder à toutes les routes protégées.
Action : changer ce mot de passe immédiatement sur toute instance, exposée ou non.
Simple Admin Core — CVE-2026-111690
Socle d'administration (utilisateurs, rôles, menus, droits d'API). Le secret qui signe les jetons JWT, Auth.AccessSecret, est codé en dur dans api/etc/core.yaml, publié avec le dépôt. N'importe qui peut signer un jeton avec ce secret et la revendication de rôle super-administrateur, et obtenir le contrôle complet de l'application.
Action : définir un secret propre à chaque déploiement. NVD référence une pull request du projet (#382) : vérifie si elle est fusionnée dans ta version. Changer le secret invalide tous les jetons existants, y compris ceux qu'un attaquant aurait forgés.
Misaka Danmu Server — CVE-2026-111643
Serveur de commentaires synchronisés (« danmu ») pour lecteurs multimédias. L'endpoint POST /api/ui/config-history/rollback n'est pas protégé et permet d'écrire n'importe quelle clé de configuration. En ajoutant sa propre adresse à ipWhitelist, ou en modifiant trustedProxies ou webhookApiKey, un attaquant accède ensuite à tous les endpoints protégés comme administrateur.
L'angle mort : des CVE que NVD n'analysera pas
Les quatre entrées sont au statut « Deferred » dans NVD : NVD a décidé de ne pas les enrichir. Concrètement, elles n'auront pas de configuration CPE, c'est-à-dire pas d'identifiant produit normalisé.
Or la plupart des outils de veille — et des scanners de vulnérabilités — rapprochent les CVE de ton parc par CPE. Une CVE sans CPE ne correspond à rien : elle ne remontera jamais, aussi critique soit-elle. C'est le même mécanisme que le piège des CVE « Awaiting Analysis », mais permanent.
Pour les projets open source de niche, c'est la règle plutôt que l'exception. Si tu en fais tourner, la veille doit aussi se faire par nom de produit dans la description, pas seulement par CPE.
Détection
- LangChat : requêtes anonymes vers
/api/v1/dans les journaux du reverse proxy ; comptes super-administrateur inconnus ; consommation anormale chez tes fournisseurs de LLM. - DataBuff : connexions réussies au compte
admindepuis des adresses inattendues. - Simple Admin Core : jetons valides émis pour des utilisateurs ou à des heures inhabituels ; nouveaux rôles ou droits d'API.
- Misaka Danmu : historique de configuration — toute modification de
ipWhitelist,trustedProxiesouwebhookApiKeyque tu n'as pas faite.
Mitigation
- Ne pas exposer ces applications directement sur Internet : derrière un VPN, ou un reverse proxy avec authentification.
- Changer tous les secrets livrés par défaut : mots de passe, secrets JWT, clés d'API.
- Faire tourner les identifiants que l'application détient (clés LLM, jetons de webhooks, accès aux bases).
- Suivre le dépôt de chaque projet pour la correction : aucune version corrigée n'est publiée dans NVD.
Pourquoi surveiller en continu vos applications auto-hébergées
Quatre failles critiques, quatre projets, et aucune ne remontera par CPE. La veille sur l'open source auto-hébergé ne peut pas reposer uniquement sur l'enrichissement de NVD.
Avec cveo.tech, ajoute tes applications à ton parc : la surveillance combine la correspondance CPE et la recherche par nom de produit, pour que les CVE non analysées par NVD te parviennent aussi.