Veille sécuritéBackend & données
P3Élevée
Une vulnérabilité dans Banks permet à un attaquant de faire exécuter du code arbitraire dans le processus hébergeant l’application lorsque des données de tool malveillantes sont traitées. Les versions jusqu’à 2.4.2 sont affectées ; mettre à niveau vers Banks 2.4.3.
Python
IdentifiantCVE-2026-61536
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.3
Source : GHSA-64vx-6h2c-rjh7 — Banks
Analyse technique
Le champ import_path d’un objet Tool est résolu sans liste d’autorisation via importlib.import_module et getattr, puis la fonction obtenue est appelée avec les arguments du tool call.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-05 à 17:51:02Z, dans la période demandée ; l’avis a également été mis à jour à 17:57:44Z le même jour.
ImpactExécution de code arbitraire dans le processus Banks lorsque des tool calls sont traités.
Versions affectées<= 2.4.2
Version corrigée2.4.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,38% · percentile 31,9%
Publication2026-11-05T17:51:02Z
Mise à jour2026-11-05T17:57:44Z
Action recommandée
Mettre à niveau Banks vers la version 2.4.3 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).