FICHE CVE

CVE-2026-85297

Publiée le 2026-10-26 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions de Google Cloud Run MCP antérieures à la 1.11.0 sont affectées par une faille connue sous le nom de « bucket squatting ». Ce logiciel est utilisé pour gérer les déploiements sur Google Cloud Platform. La vulnérabilité survient lorsque le système ne parvient pas à sécuriser ou à valider correctement les compartiments de stockage cloud (buckets) utilisés lors du processus de déploiement.

Un attaquant peut exploiter cette faille pour voler du code source propriétaire, exécuter des commandes arbitraires ou exfiltrer des données sensibles. Bien que l'attaque puisse être menée via le réseau sans authentification, elle n'est pas automatique ; elle nécessite un certain niveau d'interaction de l'utilisateur pour réussir. L'impact est élevé, pouvant compromettre la confidentialité et l'intégrité de l'environnement concerné.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

CWE-340

Publiée2026-10-26

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

Urgence du fournisseurAmber

RÉFÉRENCES

f45cbf4e-4146-4068-b7e1-655ffc2c548c

Description officielle du NVD (en anglais)

Bucket Squatting in Google Cloud Run MCP versions prior to 1.11.0 on Google Cloud Platform allows an attacker to intercept and access proprietary source code, execute arbitrary code and exfiltrate data. Users must upgrade to Cloud Run MCP version 1.11.0 or later.