Veille sécuritéBackend & données
P3Critique
Le paquet Python `thumbnail` présente une injection de commandes dans `generate_thumbnail()` lorsque le chemin d’un fichier contrôlé par un attaquant est utilisé dans des commandes shell. Un nom de fichier spécialement construit, par exemple celui d’un fichier téléversé, peut entraîner l’exécution de commandes avec les privilèges du processus Python; les versions jusqu’à 1.5 sont concernées.
Python
IdentifiantCVE-2026-110650
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110650
Analyse technique
`generate_thumbnail()` transmet des chemins à des appels `os.system()` qui invoquent notamment `ffmpeg`, `convert` ou `unoconv`.
Impact, versions et correctif
Événement datéNouvelle fiche publiée le 2026-10-14T15:17:18.793Z, dans la période demandée; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExécution de commandes système avec les privilèges du processus Python.
Versions affectéesthumbnail jusqu’à la version 1.5 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T15:17:18.793Z
Mise à jour2026-10-14T21:17:35.953Z
Action recommandée
Ne pas traiter de chemins contrôlés par des utilisateurs non fiables avec les versions concernées; appliquer un correctif lorsqu’il sera disponible.
Sources
Priorisation DFS : P3 · 1 source(s).