VanOffice est conçu pour un usage personnel sur 127.0.0.1. Son serveur ne fournit pas de comptes web ni de séparation entre utilisateurs. Les permissions et les limites des agents sont décrites dans le cadre d’utilisation.
Le contrôle des 145 paquets du verrou de développement signale quatre avis sur chromadb==1.1.1, une dépendance transitive de CrewAI :
| Avis | Problème décrit dans le serveur Chroma |
|---|---|
| CVE-2026-45829 | Injection de code avant authentification lors de la création d’une collection |
| CVE-2026-45830 | Accès aux données d’un autre tenant après authentification |
| CVE-2026-45833 | Injection de code lors de la modification d’une collection |
| CVE-2026-45831 | Permissions insuffisamment limitées au tenant, à la base ou à la collection |
Les quatre avis ne donnent aucune version corrigée à cette date. CrewAI 1.15.20, dernière version publiée vérifiée, exige chromadb~=1.1.0. ChromaDB 1.5.9, dernière version publiée vérifiée, reste concernée par les avis et sort de cette contrainte. Forcer cette version ne résoudrait donc pas les alertes.
Le code versionné de VanOffice ne démarre pas le serveur HTTP Chroma et ne configure pas de client Chroma. Les projets, notes et conversations sont conservés dans les fichiers locaux décrits dans le README. Les chemins serveur visés par ces avis ne sont pas exposés par l’application livrée ; cela ne corrige pas le paquet installé et ne vaut pas pour un serveur Chroma lancé séparément.
Les alertes restent ouvertes. Une résolution demande une version corrigée compatible avec CrewAI, ou le retrait de cette dépendance avec validation du moteur. Après un changement de dépendances, refaire une installation dans un environnement vide, lancer python -m pip check, la suite de livraison et l’audit ci-dessous.
Avec uv installé, depuis la racine du dépôt :
uvx --from pip-audit pip-audit -r requirements-dev.txt --disable-pip --no-deps --strictLe verrou contient les versions transitives. Le contrôle retourne actuellement un échec en raison des quatre avis ci-dessus ; aucune exception ne les masque. Les tests fonctionnels et la CI ne constituent pas un audit de vulnérabilités.