Veille sécuritéBackend & données
P3Élevée
Dans virtualenv 21.14.9 à 21.14.12, le script Bash `bin/activate` peut intégrer sans échappement dans `PS1` une valeur `–prompt` contrôlée par l’attaquant, permettant l’exécution de commandes lorsque certaines options Bash sont réactivées. Mettre à jour vers la version 21.14.13 ou ultérieure.
Python
IdentifiantCVE-2026-115586
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.14.13
Source : CVE-2026-115586 — NVD
Analyse technique
Une valeur `–prompt` peut être copiée dans `PS1` sans protection contre les signes dollar ou les accents graves. La substitution de commande peut ensuite s’exécuter dans un shell interactif de l’utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-23 ; l’information retenue est la publication de cette vulnérabilité, et non une simple modification administrative.
ImpactExécution de commandes avec les privilèges de l’utilisateur qui active l’environnement virtuel.
Versions affectéesvirtualenv 21.14.9 à 21.14.12
Version corrigée21.14.13
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-23T20:17:21.363Z
Mise à jour2026-10-23T21:17:22.793Z
Action recommandée
Mettre à jour virtualenv vers 21.14.13 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).