Veille sécuritéBackend & données
P4Faible
Un chemin contenant des octets UTF-8 mal formés pouvait contourner le contrôle des caractères de contrôle de Flysystem, parce que l’échec de `preg_match()` était traité comme une absence de correspondance. Les versions jusqu’à 3.35.2 sont concernées ; mettre à niveau vers 3.35.3.
PHP
IdentifiantCVE-2026-102601
GravitéFaible
Exploitationnon connue / non déterminée
Correctif3.35.3
Source : GHSA-cxf4-7mrp-vvpr — Flysystem
Analyse technique
La faiblesse touche le `WhitespacePathNormalizer` par défaut et les adaptateurs utilisant ce normaliseur ; l’avis précise que la protection contre la traversée de chemins n’est pas affectée.
Impact, versions et correctif
Événement datéL’avis initial date du 2026-09-29, hors période ; la mise à jour substantielle est datée du 2026-09-30T21:26:47Z, dans la période demandée.
ImpactUn chemin contenant des caractères de contrôle peut passer le contrôle de normalisation et être accepté par le système de fichiers.
Versions affectées<= 3.35.2
Version corrigée3.35.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
Publication2026-09-29T18:10:14Z
Mise à jour2026-09-30T21:26:47Z
Action recommandée
Mettre à niveau league/flysystem vers la version 3.35.3.
Sources
Priorisation DFS : P4 · 1 source(s).