Veille sécuritéBackend & données
P3Élevée
Avant soapbar 0.13.0, `verify_envelope_bsp()` acceptait comme ancre de confiance le certificat fourni dans le message SOAP, sans valider sa chaîne ni l’épingler, ce qui pouvait permettre de falsifier une signature et d’usurper un signataire auprès des applications qui s’appuient sur cette vérification pour authentifier les messages. Mettre à jour vers 0.13.0 ; la fonction `verify_envelope()` utilisant un certificat fourni et épinglé n’est pas affectée.
Python
IdentifiantCVE-2026-64855
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.13.0
Source : NVD — CVE-2026-64855
Analyse technique
La fonction BSP validait les dates du certificat X.509 intégré, mais ne vérifiait ni la chaîne de certification ni l’identité du signataire.
Impact, versions et correctif
Événement datéPublication de la vulnérabilité le 2026-11-11T16:17:25.370Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement de cette période.
ImpactUn message SOAP signé avec un certificat contrôlé par l’attaquant pouvait être accepté comme authentique par les consommateurs utilisant cette fonction pour vérifier l’identité du signataire.
Versions affectéessoapbar < 0.13.0
Version corrigée0.13.0
ContournementLa fonction verify_envelope() avec un certificat x509_cert fourni par l’appelant n’est pas affectée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
Publication2026-11-11T16:17:25.370Z
Action recommandée
Mettre soapbar à jour vers la version 0.13.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).