Veille sécuritéBackend & données
P3Élevée
Dans filelock sur POSIX, ReadWriteLock laisse SQLite rouvrir la base et ses fichiers auxiliaires par nom, ce qui peut exposer des opérations de remplacement ou de suppression. La faille concerne les versions 3.20.4 à 4.2.0 et est corrigée en 4.2.1.
Python
IdentifiantCVE-2026-112940
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.2.1
Source : NVD — CVE-2026-112940
Analyse technique
Un utilisateur local disposant de droits de renommage dans un parent non sticky peut échanger les noms des fichiers concernés. L’écriture d’un contenu choisi par l’attaquant requiert également un journal hot adjacent accessible en écriture.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-20 à 17:17:16.827+02:00, dans la période demandée.
ImpactDans les conditions locales indiquées, des fichiers de la base de verrouillage peuvent être remplacés ou supprimés ; l’écriture de contenu arbitraire dépend de conditions supplémentaires.
Versions affectéesfilelock 3.20.4 à 4.2.0
Version corrigée4.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-20T17:17:16.827+02:00
Mise à jour2026-10-20T21:50:26.943+02:00
Action recommandée
Mettre à niveau filelock vers la version 4.2.1.
Sources
Priorisation DFS : P3 · 1 source(s).