Veille sécuritéBackend & données
P3Élevée
Avant virtualenv 21.14.9, le script d’activation POSIX pour xonsh pouvait encoder des données non ASCII en UTF-8 alors que xonsh le lisait avec un encodage multioctet ancien. Dans certaines configurations, un utilisateur influençant le prompt ou la destination pouvait provoquer l’exécution d’instructions lorsqu’un autre utilisateur source le script généré.
Python
IdentifiantCVE-2026-113718
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113718
Analyse technique
La fonction quote() utilise repr() pour écrire le script UTF-8; avec des encodages tels que GBK ou Big5, un octet de fin peut neutraliser l’échappement d’un guillemet.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T20:17:18.197Z, dans la période demandée.
ImpactExécution d’instructions avec les privilèges de l’utilisateur qui source le script d’activation, sous les conditions décrites.
Versions affectéesvirtualenv antérieur à 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-20T20:17:18.197Z
Mise à jour2026-10-20T20:17:18.197Z
Action recommandée
Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).