CVE-2026-82475 a été publié contre astron-agent, la plateforme open source de workflows agentiques d’iFlytek, le 29 août 2026 à 18:31:32 UTC. Il décrit une contournement d’autorisation dans le gestionnaire copyFlow de la plateforme : une requête GET /workflow/copy-flow sans vérification de propriété, ce qui, dans un déploiement multitenant, signifie qu’un tenant peut accéder aux workflows d’un autre tenant. Il est noté 8,1 sur CVSS 3.1 et 8,6 sur CVSS 4.0.

Un rapport de 25 jours, clos quelques heures avant le CVE

Le rapport public de bogue, l’issue #1590, a été ouvert le 4 août à 00:55:06 UTC sous le titre « Cross-tenant workflow overwrite and disclosure via /workflow/copy-flow (missing ownership check) ». Il a été fermé le 29 août à 09:00:08 UTC. L’avis de sécurité est apparu neuf heures et trente et une minutes plus tard, dans un dépôt dont les mainteneurs considéraient déjà l’affaire comme réglée.

La contradiction que personne ne résout

À la lecture conjointe de l’avis et de l’issue, les deux se contredisent. L’avis indique qu’astron-agent est vulnérable jusqu’en 1.1.1 et ne mentionne aucune version corrigée. L’issue affirme que le problème est résolu. Les deux affirmations sont exactes à propos de choses différentes, et l’écart entre elles est précisément l’histoire. Le correctif a bien été intégré — dans la pull request #1643, ouverte le 25 août à 06:38:52 UTC et fusionnée 37 minutes plus tard, à 07:15:01 UTC. Mais cette pull request modifiait 173 fichiers et porte le titre « harden XSS, artifact, and sandbox boundaries ». La vérification de propriété s’y trouve, sans être nommée, au milieu de tout le reste.

Corrigé sur main ne veut pas dire distribué

Voici l’élément qui détermine si quelqu’un est réellement protégé. La balise la plus récente du projet est v1.1.1, et son commit est daté du 7 août à 09:04:19 UTC — dix-huit jours avant la fusion du correctif. Ainsi, chaque version téléchargeable d’astron-agent, y compris la plus récente, contient encore le bogue. Un opérateur qui met à jour vers la dernière balise n’obtient rien. Le seul code corrigé se trouve sur la branche main.

Ce que coûte ce schéma

Trois signaux distincts — un avis de sécurité, une issue, une balise de version — pointent dans trois directions, et l’enregistrement de l’avis ne comporte à nouveau aucune plage structurée de versions affectées. Une équipe qui fait exactement ce qu’elle est censée faire, en suivant les avis et en s’appuyant sur des versions balisées, se retrouve sur du code vulnérable tout en croyant l’inverse.