Veille sécuritéBackend & données
P3Élevée
Dans Twisted, un pair distant non authentifié peut envoyer un flux XML dont un élément conteneur reste ouvert, faisant croître sans limite l’arbre conservé en mémoire. Ce déni de service affecte notamment l’analyse des flux XMPP avant authentification ; mettre à jour vers Twisted 26.10.0rc1 ou une version ultérieure.
Python
IdentifiantCVE-2026-115775
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif26.10.0rc1
Analyse technique
Les éléments enfants d’un conteneur non fermé restent dans l’arbre en mémoire sans limite de taille ni de nombre. Le flux peut être analysé avant l’authentification.
Impact, versions et correctif
Événement datéLa fiche NVD et l’avis GitHub associé sont datés du 2026-10-23 ; la publication de l’avis confirme la divulgation de la vulnérabilité durant la période.
ImpactUn pair distant non authentifié peut épuiser la mémoire et arrêter le processus serveur.
Versions affectéesTwisted antérieur à 26.10.0rc1
Version corrigée26.10.0rc1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-23T21:17:23.050Z
Mise à jour2026-10-23T21:17:23.050Z
Action recommandée
Mettre à jour Twisted vers 26.10.0rc1 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 2 source(s).