Veille sécuritéBackend & données
P3Critique
pypdftk permet une injection de commandes système lorsque les chemins fournis à certaines fonctions sont incorporés dans des commandes shell. Un attaquant capable de contrôler `pdf_path` ou `out_file` peut faire exécuter des commandes avec les privilèges du processus Python; la vulnérabilité est signalée pour les versions jusqu’à 0.5 incluse.
Python
IdentifiantCVE-2026-110636
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110636
Analyse technique
Les fonctions concernées sont `fill_form()`, `dump_data_fields()` et `pdftk_cmd_util()`; les commandes sont exécutées avec `subprocess.Popen` et `shell=True`.
Impact, versions et correctif
Événement datéNouvelle fiche publiée le 2026-10-14T15:17:16.710Z, dans la période demandée; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExécution de commandes système avec les privilèges du processus Python.
Versions affectéespypdftk jusqu’à la version 0.5 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T15:17:16.710Z
Mise à jour2026-10-14T15:17:16.710Z
Action recommandée
Éviter de transmettre des chemins non fiables aux fonctions concernées et appliquer un correctif dès qu’il sera disponible.
Sources
Priorisation DFS : P3 · 1 source(s).