Veille sécuritéBackend & données
P3Élevée
Fickling jusqu’à la version 0.1.12 peut laisser passer un pickle malveillant utilisant un nom d’attribut qualifié avec un point, puis le charger comme sûr. Le correctif n’est pas établi dans les informations vérifiées; évitez de vous fier à `check_safety()` comme barrière de sécurité et mettez à jour dès qu’une version corrigée est disponible.
Python
IdentifiantCVE-2026-118938
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118938
Analyse technique
Le suivi des imports de Fickling ne prend en compte que la partie initiale du nom qualifié, ce qui peut empêcher l’analyse de l’appel dangereux et conduire à un verdict LIKELY_SAFE.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-10-30T22:16:54.020Z, soit le 2026-10-31 à 00:16:54.020 +02:00, dans la période. La mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactUn pickle spécialement conçu peut contourner l’analyse de sécurité de Fickling et entraîner l’exécution de code lors de son chargement.
Versions affectéesfickling jusqu’à 0.1.12 inclus
ContournementNe chargez pas de pickles non fiables avec fickling.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,48% · percentile 41,3%
Publication2026-10-30T22:16:54.020Z
Action recommandée
Ne chargez pas de pickles non fiables avec les versions concernées; surveillez la publication d’une version corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).