Veille sécuritéBackend & données
P3Critique
Le plugin decompress de FlexGet présente une traversée de chemin lors du traitement d’archives, permettant à un attaquant distant de faire écrire des fichiers arbitraires. Des fichiers Python déposés dans le répertoire des plugins peuvent entraîner une exécution de code ; la version 3.20.7 corrige le problème.
Python
IdentifiantCVE-2026-113613
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.20.7
Source : NVD — CVE-2026-113613
Analyse technique
Des chemins de membres malveillants dans des archives ZIP ou RAR fournies via un flux peuvent sortir du chemin prévu et écrire des fichiers, notamment dans le répertoire des plugins.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-20 à 18:17:11.933+02:00, dans la période demandée.
ImpactUn attaquant distant peut écrire des fichiers arbitraires ; l’écriture dans le répertoire des plugins peut conduire à une exécution de code.
Versions affectéesFlexGet versions antérieures à 3.20.7
Version corrigée3.20.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.2
Publication2026-10-20T18:17:11.933+02:00
Mise à jour2026-10-20T22:11:29.833+02:00
Action recommandée
Mettre à niveau FlexGet vers la version 3.20.7 ou ultérieure et éviter de traiter des archives non fiables avec les versions vulnérables.
Sources
Priorisation DFS : P3 · 1 source(s).