Veille sécuritéBackend & données
P4Faible
Avant virtualenv 21.14.9, le téléchargement d’un paquet pouvait laisser dans le cache un fichier rejeté sans vérification, dans certaines conditions liées à la sortie de pip et à un index contrôlé. Cela peut permettre la sélection ultérieure d’une archive non vérifiée; la faille ne contourne pas à elle seule TLS et ne prouve pas un contrôle de PyPI.
Python
IdentifiantCVE-2026-113714
GravitéFaible
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113714
Analyse technique
Le téléchargement est écrit dans le cache réutilisable avant la sélection de la cible de vérification. Une variante exploite une ligne Saved falsifiée; une autre concerne un fichier de cache rejeté.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T19:17:34.050Z, dans la période demandée.
ImpactUn paquet rejeté peut rester dans le cache et être sélectionné ultérieurement sans vérification, sous les conditions décrites.
Versions affectéesvirtualenv antérieur à 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-10-20T19:17:34.050Z
Mise à jour2026-10-20T20:17:17.563Z
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).