diff --git a/backend/requirements.txt b/backend/requirements.txt
index 3b500cf..b412ab7 100644
--- a/backend/requirements.txt
+++ b/backend/requirements.txt
@@ -75,3 +75,7 @@ filelock>=4.2.1
 opentelemetry-api>=1.45.1
 # Coffre Secrets (Phase 1a) : chiffrement par enveloppe AES-256-GCM.
 cryptography>=44.0
+
+# Plancher de securite : msgpack est transitif, version 1.2.1 relevee par le job
+# security (pip-audit, bloquant) — CVE-2026-114613, corrigee en 1.2.3.
+msgpack>=1.2.3