Veille sécuritéBackend & données
P3Élevée
Dans AsyncSSH avant 2.24.1, un utilisateur SFTP authentifié pouvait contourner le chroot en fournissant un chemin commençant par deux barres obliques, ce qui permettait de lire ou modifier des fichiers accessibles au compte du serveur. Mettre AsyncSSH à jour vers la version 2.24.1 ou ultérieure.
Python
IdentifiantCVE-2026-102643
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.24.1
Source : NVD — CVE-2026-102643
Analyse technique
La normalisation de chemin préservait les deux barres initiales et le chemin était ensuite traité comme absolu lors de la jonction avec le chroot. L’impact dépend des permissions du compte serveur; une exécution de code peut être possible selon les cibles modifiables.
Impact, versions et correctif
Événement datéLa publication NVD indiquée à 2026-11-09T22:18:21.920Z correspond au 2026-11-10 à 00:18:21.920+02:00, dans la période retenue.
ImpactUn utilisateur SFTP authentifié peut accéder à des fichiers hors du chroot avec les permissions du compte exécutant le serveur.
Versions affectéesAsyncSSH antérieur à 2.24.1
Version corrigée2.24.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,84% · percentile 58,3%
Publication2026-11-09T22:18:21.920Z
Mise à jour2026-11-09T22:18:21.920Z
Action recommandée
Mettre AsyncSSH à jour vers la version 2.24.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).