Avant virtualenv 21.14.9, des chemins d’interpréteur contenant des espaces ou produisant un shebang de plus de 127 octets pouvaient générer un lanceur POSIX dont le chemin entre guillemets laissait interpréter des substitutions de commande. Un attaquant influençant la destination peut ainsi faire exécuter des commandes avec les privilèges de l’utilisateur lorsque celui-ci lance le script; la création ou l’activation seule ne déclenche pas l’exécution.
Source : NVD — CVE-2026-113722
Analyse technique
Les lanceurs existants doivent être régénérés après mise à niveau. Une installation ou mise à jour ultérieure indépendante de pip peut réintroduire un lanceur affecté, car son distlib intégré n’est pas modifié par le correctif virtualenv.
Impact, versions et correctif
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou ultérieure et régénérer les lanceurs existants affectés.
Sources
Priorisation DFS : P3 · 1 source(s).