Veille sécuritéBackend & données
P4Moyenne
Avant virtualenv 21.14.9, le seeder app-data copiait les modes de fichiers du cache au lieu de respecter le umask de l’exécution courante. Un cache créé sous un umask permissif pouvait donc rendre des fichiers de paquets modifiables par un autre compte local dans un environnement accessible, puis permettre l’exécution de code modifié par le propriétaire de l’environnement.
Python
IdentifiantCVE-2026-113720
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113720
Analyse technique
La copie utilise shutil.copy(); un répertoire parent privé empêche l’accès de l’autre compte.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T20:17:18.493Z, dans la période demandée.
ImpactUn autre compte local peut modifier des fichiers de paquets accessibles, susceptibles d’être ensuite exécutés.
Versions affectéesvirtualenv antérieur à 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.4
Publication2026-10-20T20:17:18.493Z
Mise à jour2026-10-20T20:17:18.493Z
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).