Veille sécuritéBackend & données
P3Élevée
Dans les versions antérieures à 21.14.2, l’activation fish utilise un échappement POSIX incompatible avec les règles d’interprétation de fish. Une valeur contrôlée contenant une séquence appropriée peut fermer le littéral généré et provoquer une substitution de commande lorsque l’utilisateur source activate.fish.
Python
IdentifiantCVE-2026-113732
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.14.2
Source : NVD — CVE-2026-113732
Analyse technique
FishActivator hérite d’un mécanisme de citation fondé sur shlex.quote(), qui ne correspond pas à la syntaxe fish.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée 2026-10-20T22:19:30.413Z, soit 2026-10-21T00:19:30.413+02:00 : elle tombe dans la période demandée.
ImpactExécution de commandes avec les privilèges de l’utilisateur lors de l’activation fish d’un environnement construit avec des données contrôlées.
Versions affectéesAvant 21.14.2
Version corrigée21.14.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.8
EPSS0,21% · percentile 10,8%
Publication2026-10-21T00:19:30+02:00
Mise à jour2026-10-21T00:19:30+02:00
Action recommandée
Mettre à niveau virtualenv vers 21.14.2 ou une version ultérieure et ne pas activer d’environnement généré à partir de chemins ou invites non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).