Veille sécuritéBackend & données
P4Moyenne
Dans les liaisons Python de Botan, certaines chaînes contenant U+0000 peuvent être tronquées lors du traitement par bcrypt et check_bcrypt. Mettre à niveau vers Botan 3.13.0 ou ultérieur; scrypt et argon2 ne sont pas concernés selon l’avis fourni.
Python
IdentifiantCVE-2026-118767
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.13.0
Source : CVE-2026-118767 — NVD
Analyse technique
La conversion d’une chaîne Python en const char* peut tronquer à l’octet nul, de sorte que la valeur validée et celle traitée diffèrent.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-29T18:17:28.853Z, soit le 2026-10-29T20:17:28.853+02:00, dans la période retenue. Sa mise à jour du 2026-10-30 est postérieure à la borne de fin et n’est pas prise en compte.
ImpactDans certaines applications, le traitement tronqué peut faire diverger la politique de mot de passe appliquée de la valeur effectivement hachée.
Versions affectéesBotan 1.11.22 à 3.12.x
Version corrigée3.13.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
Publication2026-10-29T20:17:28.853+02:00
Détection / vérification
Vérifier les versions de Botan et l’usage des liaisons Python bcrypt/check_bcrypt avec des mots de passe contenant U+0000.
Action recommandée
Mettre à niveau vers Botan 3.13.0 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).