Veille sécuritéBackend & données
P3Élevée
Avant la version 21.14.7, le script d’activation Bash de `virtualenv` n’échappe pas correctement le nom de l’environnement lors des deux traitements de `PS1`. Un nom contenant une barre oblique inverse et une substitution de commande peut alors provoquer l’exécution de commandes dans le shell de l’utilisateur à chaque affichage de l’invite.
Python
IdentifiantCVE-2026-113725
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.14.7
Source : NVD — CVE-2026-113725
Analyse technique
L’échappement du nom d’environnement n’est appliqué qu’à l’un des deux passages effectués par Bash sur `PS1`; une barre oblique inverse peut annuler l’échappement lors du passage suivant.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée; cet événement de publication est retenu.
ImpactExécution de commandes dans le shell de l’utilisateur lorsque le nom d’environnement spécialement construit est utilisé.
Versions affectéesvirtualenv < 21.14.7
Version corrigée21.14.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.8
Publication2026-10-20T20:17:19.257Z
Mise à jour2026-10-20T20:17:19.257Z
Action recommandée
Mettre à niveau vers virtualenv 21.14.7 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).