Veille sécuritéBackend & données
P4Faible
Avant virtualenv 21.14.9, le chemin d’installation utilisant `–seeder pip –download` pouvait contourner la vérification du condensat SHA-256 de PyPI pour un paquet correspondant à celui intégré. Le défaut concerne la comparaison activée pour l’index par défaut et ne contourne pas à lui seul TLS ni n’établit le contrôle de la réponse de l’index.
Python
IdentifiantCVE-2026-113717
GravitéFaible
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113717
Analyse technique
Dans cette voie, pip consulte l’index configuré sans passer par download_wheel() et verify_wheel_digest().
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T20:17:18.017Z, dans la période demandée.
ImpactUn candidat de paquet provenant de l’index peut être sélectionné sans comparaison au condensat SHA-256 des métadonnées PyPI, dans les conditions décrites.
Versions affectéesvirtualenv antérieur à 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-10-20T20:17:18.017Z
Mise à jour2026-10-20T20:17:18.017Z
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).