Veille sécuritéBackend & données
P4Moyenne
Dans asteval, l’interpréteur par défaut avec NumPy activé expose un type ctypes accessible permettant des accès mémoire via from_address, tandis que les affectations d’attributs ne sont pas filtrées. Une expression contrôlée par un attaquant peut alors lire ou corrompre la mémoire du processus, sortir du bac à sable prévu et potentiellement exécuter du code ; la faille est corrigée en version 1.0.9.
Python
IdentifiantCVE-2026-102734
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.0.9
Source : NVD — CVE-2026-102734
Analyse technique
Le type ctypes reste atteignable malgré le filtrage de safe_getattr ; from_address permet l’accès mémoire et les affectations utilisent setattr plutôt que safe_setattr.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-13T16:17:09.820Z, dans la période demandée ; il s’agit d’une nouvelle vulnérabilité.
ImpactLecture ou corruption de mémoire, évasion du bac à sable, exécution de code, divulgation de secrets ou interruption du processus.
Versions affectéesVersions antérieures à 1.0.9 ; interpréteur par défaut avec NumPy activé.
Version corrigée1.0.9
ContournementDésactiver NumPy dans l’interpréteur si la mise à niveau ne peut pas être effectuée immédiatement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5 · CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Publication2026-10-13T16:17:09.820Z
Mise à jour2026-10-13T21:17:20.823Z
Action recommandée
Mettre asteval à jour vers la version 1.0.9 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).