Veille sécuritéBackend & données
P4Moyenne
Dans python-tuf avant 7.0.0, la vérification des délégations de chemin pouvait devenir insensible à la casse sous Windows, permettant dans certaines configurations d’accepter une cible provenant d’une délégation incorrecte. Le problème concerne les clients Windows utilisant des délégations de chemins qui diffèrent uniquement par la casse; la version 7.0.0 corrige le défaut.
Python
IdentifiantCVE-2026-123806
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.0.0
Source : NVD — CVE-2026-123806
Analyse technique
fnmatch.fnmatch applique os.path.normcase avant la comparaison. Le scénario décrit nécessite des délégations de dépôt différant uniquement par la casse et la visite préalable d’un rôle contrôlé par l’attaquant.
Impact, versions et correctif
Événement datéLa publication NVD indiquée à 2026-11-09T22:18:36.503Z correspond au 2026-11-10 à 00:18:36.503+02:00, dans la période retenue.
ImpactUn client Windows peut accepter une cible fournie par une délégation incorrecte dans la configuration décrite.
Versions affectéespython-tuf antérieur à 7.0.0; impact décrit pour Windows
Version corrigée7.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4
EPSS0,13% · percentile 2,9%
Publication2026-11-09T22:18:36.503Z
Mise à jour2026-11-09T22:18:36.503Z
Action recommandée
Mettre à jour python-tuf vers la version 7.0.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).