Veille sécuritéBackend & données
P3Élevée
Dans zsh avec PROMPT_SUBST activé, une valeur contrôlée de nom ou de chemin d’environnement peut être interprétée lors de l’affichage de l’invite et y exécuter des commandes. Les versions antérieures à 21.14.4 sont concernées par ce mécanisme; bash et zsh sans PROMPT_SUBST ne le sont pas.
Python
IdentifiantCVE-2026-113726
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.14.4
Source : NVD — CVE-2026-113726
Analyse technique
Le script d’activation bash, également sourcé par zsh, ne neutralise pas correctement certaines expansions dans PS1 quand PROMPT_SUBST est actif.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée 2026-10-20T22:19:29Z, soit 2026-10-21T00:19:29+02:00 : elle tombe dans la période demandée.
ImpactExécution de commandes dans le shell de l’utilisateur lorsque l’environnement est activé et que l’invite est affichée dans la configuration zsh concernée.
Versions affectéesAvant 21.14.4; les conditions précises varient selon les versions, notamment à partir de 21.13.0.
Version corrigée21.14.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.8
EPSS0,23% · percentile 13,5%
Publication2026-10-21T00:19:29+02:00
Mise à jour2026-10-21T00:19:29+02:00
Action recommandée
Mettre à niveau virtualenv vers 21.14.4 ou une version ultérieure; éviter les valeurs d’invite ou chemins non fiables avant mise à niveau.
Sources
Priorisation DFS : P3 · 1 source(s).