Veille sécuritéBackend & données
P4Moyenne
Avant la version 21.14.9, le gestionnaire d’erreur de suppression de `virtualenv` peut suivre un lien symbolique lorsqu’il modifie les permissions avant de réessayer. Dans certaines conditions, un utilisateur peut ainsi rendre largement accessible en écriture un fichier qu’il possède hors du répertoire ciblé.
Python
IdentifiantCVE-2026-113724
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif21.14.9
Source : NVD — CVE-2026-113724
Analyse technique
Lors d’un échec de suppression, `safe_delete()` utilise `os.lstat()` puis `os.chmod()` sur le chemin; ce dernier suit le lien symbolique. L’attaque nécessite notamment que la cible appartienne à l’utilisateur et que son parent soit accessible à l’autre compte concerné.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée; cet événement de publication est retenu.
ImpactUn fichier appartenant à l’utilisateur peut devenir accessible en écriture à d’autres comptes selon les permissions des répertoires parents.
Versions affectéesvirtualenv < 21.14.9
Version corrigée21.14.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.5
Publication2026-10-20T20:17:19.113Z
Mise à jour2026-10-20T20:17:19.113Z
Action recommandée
Mettre à niveau vers virtualenv 21.14.9 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).