Veille sécuritéBackend & données
P4Moyenne
Sous POSIX, une course entre validation et utilisation du répertoire de claims peut permettre à un compte local de substituer un lien symbolique. Cela peut détourner ou bloquer des claims, et une récupération forcée peut affecter un autre verrou strict; le correctif est dans filelock 4.2.1.
Python
IdentifiantCVE-2026-112938
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.2.1
Source : NVD — CVE-2026-112938
Analyse technique
Concerne StrictSoftFileLock et AsyncStrictSoftFileLock; l’impact dépend de la possibilité, pour un compte local, de renommer le répertoire de coordination.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-05 à 22:17:47Z, soit le 2026-11-06 à 00:17:47 +02:00, dans la période.
ImpactDétournement ou blocage de claims et risque de violation de l’exclusion mutuelle entre verrous.
Versions affectéesfilelock 3.30.0 à < 4.2.1
Version corrigée4.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.8
EPSS0,11% · percentile 1,1%
Publication2026-11-05T22:17:47.213Z
Mise à jour2026-11-06T21:40:43.450Z
Action recommandée
Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).