Veille sécuritéBackend & données
P4Moyenne
Avant virtualenv 21.14.9, le créateur builtin acceptait certains répertoires déjà présents sous forme de liens symboliques. Lorsqu’un autre compte local préparait l’arborescence et que l’utilisateur avait accès à la cible, la création de l’interpréteur, l’installation des paquets d’amorçage ou la génération des scripts pouvait écrire en dehors du répertoire demandé.
Python
IdentifiantCVE-2026-113716
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113716
Analyse technique
ensure_dir() considère comme existant un lien symbolique vers un répertoire. L’option –clear supprime au préalable l’arborescence préparée.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T20:17:17.850Z, dans la période demandée.
ImpactÉcriture de fichiers hors du répertoire de destination avec les permissions de l’utilisateur qui crée l’environnement.
Versions affectéesvirtualenv antérieur à 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.5
Publication2026-10-20T20:17:17.850Z
Mise à jour2026-10-20T20:17:17.850Z
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).