Veille sécuritéBackend & données
P4Moyenne
Dans DDEV 1.25.2 à 1.25.3, l’extraction d’une archive tar peut créer un lien symbolique absolu hors du répertoire prévu, puis permettre à une entrée de fichier de remplacer des fichiers sur l’hôte. Le défaut est accessible notamment par des imports ou la récupération d’extensions; mettre à niveau vers 1.25.4.
Node.js
IdentifiantCVE-2026-108262
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.25.4
Source : NVD — CVE-2026-108262
Analyse technique
La validation porte sur une cible absolue ré-ancrée, mais le lien est créé avec sa valeur absolue brute. Le remplacement de fichiers sensibles peut conduire à l’exécution de code dans le contexte de l’utilisateur DDEV; Unzip n’est pas affecté.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-06 à 19:17:06.803Z, dans la période demandée; le descriptif fourni précise le mécanisme et la version corrigée.
ImpactÉcriture de fichiers hors du répertoire d’extraction, pouvant conduire à l’exécution de code dans le contexte de l’utilisateur.
Versions affectéesDDEV 1.25.2 à 1.25.3
Version corrigée1.25.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-11-06T19:17:06.803Z
Mise à jour2026-11-06T19:17:06.803Z
Action recommandée
Mettre à niveau DDEV vers la version 1.25.4.
Sources
Priorisation DFS : P4 · 1 source(s).