Ce qui a changé.

Sécurité

• mcp-known-vulnerable-version connaît trois avis critiques publiés ce mois-ci : mysql_mcp_server avant 0.4.2 (CVE-2026-59971), MCP Context Forge 1.0.0 à 1.0.1 (CVE-2026-53710) et obsidian-web-mcp avant 0.2.0 (CVE-2026-54618). Une configuration qui fixe une version affectée est signalée.

Ajouté

• Les classements notent ce que vos analyses trouvent, par gravité, plutôt que le nombre d'analyses effectuées — avec un classement mondial et un par région, sur huit régions. Le top 5 de chaque classement obtient Pro gratuitement.
• Le site en hindi, et la bande-annonce en chinois, doublée ou en audio anglais avec sous-titres.
• Ce journal des modifications en flux RSS.

Corrigé

• La bande-annonce peut désormais être passée sur iPhone et dans Safari.

Ryzek fonctionne désormais sur ryzek.dev. Connectez-vous, ajoutez vos fichiers, et lisez les résultats — rien à installer. Les fichiers analysés sont lus en mémoire puis supprimés.

• 54 règles, contre 12 auparavant — configuration MCP, couche agent (injection, résultats d'outils falsifiés, empoisonnement de mémoire, déclencheurs différés), chaîne d'approvisionnement et identifiants — chacune avec une démo en direct sur la page des règles, générée en exécutant le scanner.
• Détection des modifications qui suit votre compte. Ryzek conserve une empreinte de chaque outil que vous analysez et signale les changements à votre prochaine analyse, sur n'importe quel appareil. Acceptez un changement quand il est attendu.
• Vérifications de dépendances sensibles aux versions. vulnerable-dependency compare désormais les versions à l'avis de sécurité, afin que les versions corrigées restent silencieuses. Nouveaux avis : Langflow (CVE-2025-3248), Flowise (CVE-2025-59528) et mcp-remote (CVE-2025-6514).
• package.json et requirements.txt sont lus pour repérer les hooks d'installation et les dépendances listées dans les avis de sécurité.
• Serveurs MCP fantômes : importez la configuration MCP d'un projet en même temps qu'une configuration client, comme claude_desktop_config.json, pour voir les serveurs que le client peut utiliser mais que le projet ne déclare jamais.

Corrections

• install-script-hook ne parvenait pas à reconnaître un vrai package.json ; c'est désormais corrigé, et les hooks qui n'atteignent ni le réseau ni un shell sont toujours ignorés.
• Un caractère Unicode Tag caché était signalé deux fois par deux règles ; il n'est désormais signalé qu'une fois.
• Les serveurs MCP distants étaient signalés pour permissions excessives simplement parce qu'ils utilisaient le réseau ; cette fausse alerte a disparu.
• Trois règles n'affichaient aucune catégorie OWASP à cause d'identifiants mal associés ; chaque règle est désormais correctement mappée.
• Les vérifications d'exfiltration DNS, de persistance et d'extraction de prompt correspondent désormais au code réparti sur plusieurs lignes, tel que les formateurs le disposent.
• L'avis sur le MCP Go SDK reflète désormais sa correction dans la version 1.4.1.