Veille sécuritéBackend & données
P4Moyenne
Lors de copies SFTP récursives vers une destination locale, AsyncSSH faisait confiance aux noms retournés par le serveur distant, ce qui pouvait permettre à un serveur malveillant ou compromis d’écrire hors du répertoire demandé. Les versions antérieures à 2.24.1 sont concernées; mettre à niveau vers 2.24.1 ou ultérieure.
Python
IdentifiantCVE-2026-77473
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.24.1
Source : NVD — CVE-2026-77473
Analyse technique
Des noms absolus ou contenant des séparateurs et des traversées de répertoire peuvent faire sortir le chemin de destination de la racine locale demandée; les appels concernés incluent get(), mget() et copy().
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09T22:18:54.713Z, soit le 2026-11-10 à 00:18:54.713+02:00, dans la période retenue.
ImpactUn serveur SFTP malveillant ou compromis peut faire écrire des fichiers à des emplacements accessibles au processus client, hors du répertoire demandé.
Versions affectéesVersions antérieures à 2.24.1
Version corrigée2.24.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,54% · percentile 45,9%
Publication2026-11-09T22:18:54.713Z
Mise à jour2026-11-10T19:21:22.477Z
Action recommandée
Mettre à niveau AsyncSSH vers la version 2.24.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).