h5io : exécution de code lors de la lecture de fichiers HDF5 malveillants

Veille sécuritéBackend & données

P3Élevée

h5io antérieur à 0.2.6 peut exécuter du code lors de la lecture d’un fichier HDF5 construit à cet effet, notamment via des données évaluées avec `eval()`, des modules importés ou des objets désérialisés. Mettre à jour vers h5io 0.2.6 ou une version ultérieure et éviter d’ouvrir des fichiers non fiables avec les versions affectées.

IdentifiantCVE-2026-120499

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.2.6

Source : NVD — CVE-2026-120499

Analyse technique

La fonction read_hdf5() peut traiter des données malveillantes dans des nœuds HDF5 `timezone`, `class` ou `custom-object`, et désérialiser des objets pandas.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-11-05 à 17:18:00Z, soit 19:18:00+02:00, dans la période demandée.

ImpactUn fichier HDF5 spécialement construit peut entraîner l’exécution de code avec les privilèges du processus qui le lit.

Versions affectéesh5io < 0.2.6

Version corrigée0.2.6

ContournementNe pas ouvrir de fichiers HDF5 non fiables avec les versions affectées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.5

Publication2026-11-05T19:18:00+02:00

Mise à jour2026-11-05T21:17:14+02:00

Détection / vérification

Vérifier la version de h5io et si l’application lit des fichiers HDF5 non fiables avec read_hdf5().

Action recommandée

Mettre à jour h5io vers la version 0.2.6 ou ultérieure et ne pas traiter de fichiers HDF5 non fiables avec une version affectée.

Sources

NVD — CVE-2026-120499

Priorisation DFS : P3 · 1 source(s).