Veille sécuritéBackend & données
P4Moyenne
Une taille de littéral négative dans une commande SEARCH IMAP peut entraîner une boucle infinie et bloquer le réacteur Twisted. L’exploitation requiert un compte authentifié; les versions jusqu’à 26.4.0 sont concernées et le correctif est disponible dans 26.10.0rc1.
Python
IdentifiantCVE-2026-115774
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif26.10.0rc1
Source : GHSA-2qrf-pqgx-qh9v — Twisted
Analyse technique
parseNestedParens ne rejette pas les tailles négatives; le curseur d’analyse peut alors boucler sans fin dans le thread du réacteur.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-23 à 20:46:12Z, soit le 2026-10-23 à 22:46:12+02:00, dans la période demandée.
ImpactUn utilisateur authentifié peut bloquer le réacteur et interrompre le traitement des connexions et services hébergés dans le processus.
Versions affectéesTwisted <= 26.4.0
Version corrigée26.10.0rc1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
Publication2026-10-23T22:46:12+02:00
Mise à jour2026-10-23T22:46:13+02:00
Détection / vérification
Vérifier si le serveur IMAP de Twisted est utilisé et si la version est affectée.
Action recommandée
Mettre à niveau Twisted vers 26.10.0rc1 ou une version corrigée ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).