FICHE CVE

CVE-2026-19407

Publiée le 2026-09-15 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les applications Python utilisant le SDK de la plateforme Google Cloud Gemini Enterprise Agent (versions antérieures à 1.166.1) sont vulnérables à une attaque de type « bucket squatting ». Un attaquant peut voler des jetons de projet ou exécuter du code arbitraire sur votre système, bien que cela nécessite que la victime interagisse avec une ressource malveillante. L'attaque peut être lancée via le réseau sans authentification préalable, à condition que l'utilisateur ciblé déclenche l'exploit.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2026-09-15

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

Urgence du fournisseurClear

RÉFÉRENCES

f45cbf4e-4146-4068-b7e1-655ffc2c548c

Description officielle du NVD (en anglais)

Bucket Squatting in Google Cloud Gemini Enterprise Agent Platform SDK for Python versions prior to 1.166.1 allows an attacker to achieve Remote Code Execution (RCE) and tenant-project token theft.