Weekly #35 : GitLab, Nextcloud, Sonarr 5 et Homelable

GitLab corrige une exécution de code sans authentification, et Collabora publie un avis sur son serveur CODE intégré à Nextcloud. Pour ce dernier, désactiver l’application ne ferme pas le chemin d’attaque : c’est sa version installée qu’il faut vérifier. Deux sujets à traiter avant de passer aux nouveautés de cette sélection du 9 au 16 octobre 2026.

Du côté des nouveautés, je retiens les métadonnées en français de Sonarr 5 et les diagrammes de Sync-in. La découverte de la semaine, Homelable, s’attaque à une tâche moins spectaculaire mais bien utile : garder le plan du réseau et sa documentation au même endroit.

En bref

#

• Nextcloud et Collabora : mettre à jour ou retirer l’application Built-in CODE vulnérable, même si elle est désactivée.
• GitLab : les branches 19.2 à 19.4 reçoivent un correctif pour une exécution de code sans authentification.
• Sonarr 5 : bêta disponible, interface revue et métadonnées multilingues. Le retour en v4 demande une sauvegarde v4.
• Sync-in 2.6 : édition de diagrammes draw.io et option pour ne pas propager les suppressions lors d’une synchronisation.
• UniFi Network 11 : appareils Matter et réseau Thread apparaissent dans la supervision.
• Homelable : une découverte pour garder schémas, inventaire et procédures au même endroit.

Nextcloud : corriger l’application CODE, même désactivée

#

L’avis Collabora du 14 octobre concerne Collabora Online - Built-in CODE Server, l’application richdocumentscode qui lance CODE sur le serveur Nextcloud. Les versions antérieures à 26.4.303 sont vulnérables ; le correctif est disponible dans cette version depuis le 11 septembre. Les serveurs Collabora autonomes ne sont pas concernés.

La faille CVE-2026-110447 permet à une requête non authentifiée d’exécuter une commande avec les droits du serveur web via proxy.php. Elle est exploitable lorsque le processus CODE est arrêté, notamment après un redémarrage ou un plantage. Désactiver l’application ne suffit pas : il faut la mettre à jour ou la retirer. Le script reste accessible indépendamment de son activation dans Nextcloud.

Pour relever la version installée, y compris dans les applications désactivées, cette commande est en lecture seule. Elle vise une installation native Debian/Ubuntu avec le compte web www-data ; remplacez /var/www/nextcloud par votre chemin et utilisez la même version de PHP que le serveur web :

sudo -u www-data php --define apc.enable_cli=1 /var/www/nextcloud/occ app:list

Cherchez richdocumentscode et comparez son numéro à 26.4.303. La version du serveur Nextcloud ne remplace pas ce contrôle. Documentation d’occ, liste des applications

Le signalement public dans le dépôt rapporte des dépôts de webshells dès les 10 et 11 septembre ; la fiche CVE publiée le 14 octobre décrit une exploitation en septembre et octobre. Examinez les journaux web conservés depuis septembre : requêtes vers richdocumentscode/proxy.php?status, chemins contenant %2e%2e, substitutions $( ou ${IFS}, puis accès à des fichiers shx*.php. Ces noms et motifs ne couvrent pas toutes les variantes : leur absence ne prouve pas l’absence de compromission.

Si vous trouvez un webshell, préservez les traces et isolez l’instance pour l’analyser. La mise à jour ferme la faille ; elle ne retire pas un accès déjà déposé.

GitLab : trois branches à corriger

#

GitLab a publié le 12 octobre les versions 19.2.8, 19.3.5 et 19.4.2 pour CE et EE. Elles corrigent notamment CVE-2026-97229, classée critique avec un CVSS 3.1 de 10,0. Une expression régulière spécialement construite dans une configuration CI/CD peut permettre une exécution de code sur le serveur sans authentification. Avis GitLab

Ces plages sont également confirmées dans la fiche CVE renseignée par GitLab. L’avis évoque des conditions particulières sans détailler tout le chemin d’exploitation. Il ne permet pas de considérer une instance comme protégée simplement parce que ses dépôts sont privés.

Depuis une session connectée, le menu Aide > Aide affiche la version en haut de page. Comparez-la au tableau et installez au minimum le correctif de sa branche. GitLab.com est déjà corrigé. Avec les paquets Linux, suivez la procédure de mise à niveau, qui prévoit notamment de suspendre les travaux CI en cours et de vérifier l’état du service après l’opération.

Sonarr 5 : une bêta qui change aussi les habitudes

#

La bêta de Sonarr 5 apporte une interface entièrement revue, une page de statistiques et le choix de la langue des métadonnées TVDB par série. Les ordres DVD ou streaming deviennent également sélectionnables. Pour une médiathèque francophone, ce sont des raisons plus concrètes de regarder cette version que le seul changement de façade.

L’authentification Basic disparaît au profit des formulaires, avec de nouvelles options OIDC. Une API v5 accompagne les changements de métadonnées et d’ordre des épisodes. Les intégrations qui s’appuient sur ces fonctions méritent donc un contrôle.

C’est toujours une bêta : la v5.0.0.2635 publiée le 16 octobre est marquée comme préversion. La branche develop, y compris les tags Docker correspondants chez les fournisseurs annoncés par le projet, passe en v5. Si vous la suivez, vérifiez ce que votre prochain renouvellement d’image va installer. Conservez une sauvegarde réalisée en v4 : revenir au binaire précédent ne suffit pas à annuler les migrations de base.

Signaux de veille cette semaine

#

UniFi Network 11, annoncé le 12 octobre, ajoute les appareils Matter à la supervision et réunit les équipements IP et Thread dans sa topologie. Ubiquiti présente cette fonction comme un complément aux contrôleurs Matter existants : de quoi retrouver un capteur et comprendre sa connexion depuis la console réseau. S’ajoutent un historique de topologie et des listes réseau alimentées par URL externe, utilisables dans les politiques de routage. Le WAN par Wi-Fi peut aussi servir de secours via un partage de connexion, sur les modèles compatibles. Présentation de Network 11

Sync-in 2.6.0 intègre draw.io pour créer et modifier les diagrammes depuis son espace de fichiers, avec un service Docker fourni ou une instance externe. Les fichiers VSDX et Gliffy peuvent être importés puis enregistrés en .drawio. Autre ajout utile : chaque chemin synchronisé peut ignorer les suppressions, pour éviter de les répercuter entre client et serveur lorsque ce comportement n’est pas souhaité. Cela reste une règle de synchronisation, pas un historique de sauvegarde. Release 2.6.0

Pour une installation depuis les sources, Node.js 22.12.0 minimum est désormais requis. La vérification des certificats SMTP devient aussi active par défaut : un relais avec certificat autosigné non approuvé peut cesser de fonctionner. Mieux vaut lui fournir une chaîne de confiance valide que désactiver cette vérification par réflexe.

Nextcloud 33.0.10, 34.0.5 et 35.0.2 constituent les maintenances d’octobre. La 35.0.2 ouvre aussi Hub 26 Summer aux clients Enterprise, avec un déploiement progressif annoncé à 30 % des instances pour commencer. Ces mises à jour du serveur sont distinctes du correctif de l’application CODE évoqué plus haut. Annonce du 16 octobre

openmediavault 8.5.11 nettoie d’anciens fichiers rsyslog et fixe explicitement des permissions dans plusieurs états Salt. Son plugin k8s 8.2.7 utilise K3s 1.35.9+k3s1 pour les nouvelles installations. Le détail à retenir est dans les notes : les installations existantes de K3s ne sont pas mises à niveau automatiquement par cette mise à jour du plugin. Notes du 10 octobre

Ubuntu 26.10 est sortie le 15 octobre, avec GNOME 51, Linux 7.3 et la fin de la migration des coreutils par défaut vers Rust. C’est une version intermédiaire avec neuf mois de maintenance. Pour le bureau, les scripts et les points à vérifier avant de quitter une LTS, le billet consacré à cette sortie est déjà disponible. Annonce officielle

Seafile 14 est disponible pour les tests, pas encore annoncé comme version stable. La présentation met en avant AI Chat pour explorer les bibliothèques, SeaSearch comme moteur de recherche par défaut, une vue tabulaire des propriétés de fichiers et des améliorations de Wiki et SeaDoc. L’annonce regroupe ces fonctions sans préciser leur répartition entre éditions : elle ne suffit pas à les promettre toutes dans Community Edition. Présentation de Seafile

La pépite de la semaine

#

Homelable : la carte et les notes au même endroit

#

Homelable associe schémas réseau, inventaire, scans et contrôles de disponibilité. On peut y dessiner ses racks et leurs connexions, importer des équipements Proxmox, Zigbee ou Z-Wave, puis garder une documentation Markdown près des machines représentées. Le projet est sous licence MIT.

C’est cette proximité entre la carte et les procédures qui donne envie de l’essayer : la fiche du NAS peut garder son inventaire et les consignes de restauration sans renvoyer vers un wiki oublié ailleurs. Les contrôles ping, TCP ou HTTP ajoutent l’état courant au dessin. L’intégration Home Assistant et le mode limité au frontend offrent d’autres portes d’entrée, selon que l’on veut superviser le lab ou simplement produire un schéma.

Les images Docker officielles existent pour amd64 et arm64. Deux points comptent avant le premier scan : remplacer les identifiants initiaux admin / admin, et choisir où placer le scanner. Dans un réseau Docker bridge ordinaire, il ne récupère pas les adresses MAC des appareils du LAN. Le projet explique les options réseau hôte sous Linux ou macvlan ; sans MAC, un changement d’adresse DHCP peut faire apparaître un appareil comme une nouvelle entrée.

La commande de la semaine

#

Avant de choisir où lancer le scanner Homelable, autant demander au noyau par où il compte joindre un appareil. Sous Linux avec iproute2, cette commande s’exécute sans privilège particulier. Remplacez 192.168.1.50 par l’adresse d’un appareil de votre LAN :

ip route get 192.168.1.50

Dans la sortie, dev indique l’interface utilisée, src l’adresse source choisie et via, lorsqu’il apparaît, la passerelle. C’est pratique pour repérer un trafic qui part dans un VPN ou vers un routeur alors qu’on pensait scanner un réseau directement connecté.

Le résultat décrit le réseau de l’environnement où la commande tourne : celui de l’hôte et celui d’un conteneur peuvent différer. Pour examiner le chemin du scanner conteneurisé, exécutez-la dans ce conteneur si ip y est disponible. Aucun paquet n’est envoyé à la cible ; une route affichée ne confirme donc pas que l’appareil répond. Manuel d’ip route

Conclusion

#

Pour la découverte, je commencerais par Homelable en mode frontend seul : dessiner le lab et exporter un PNG permet déjà de voir si l’outil convient. Les scans peuvent venir ensuite, une fois les machines et les liens posés sur la carte.

Sources

#

• Collabora - avis de sécurité sur richdocumentscode et correctif 26.4.303
• Collabora - version corrigée publiée le 11 septembre
• CVE-2026-110447 - périmètre et exploitation rapportée
• Collabora - signalement de compromissions et indicateurs dans le ticket 354
• Nextcloud 35 - utilisation de la commande occ
• Nextcloud 35 - lister les applications activées et désactivées
• GitLab - correctifs 19.4.2, 19.3.5 et 19.2.8
• CVE-2026-97229 - fiche publiée par GitLab
• GitLab - relever la version depuis l’interface
• GitLab - procédure de mise à niveau des paquets Linux
• Sonarr - annonce de la bêta v5 et conditions de retour en v4
• Sonarr - préversion v5.0.0.2635
• Ubiquiti - présentation de UniFi Network 11
• Sync-in - release 2.6.0 et changements de configuration
• Nextcloud - maintenances d’octobre 2026
• openmediavault - mises à jour du 10 octobre 2026
• Ubuntu - annonce de la sortie de 26.10
• Seafile - présentation de la version 14 en test
• Homelable - code, fonctions et licence
• Homelable - installation et limites du scan depuis Docker
• iproute2 - diagnostic d’une route avec ip route get