Black : exécution de code par la GitHub Action via pyproject.toml

Veille sécuritéBackend & données

P3Élevée

Avant la version 26.10.1, la GitHub Action de Black configurée avec `use_pyproject: true` ne valide pas la valeur `tool.black.required-version` du fichier pyproject.toml, ce qui peut conduire à installer et exécuter du code contrôlé par un contributeur de pull request. Mettre à jour Black vers la version 26.10.1 ou ultérieure et vérifier les changements de configuration soumis dans les pull requests.

IdentifiantCVE-2026-114134

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif26.10.1

Source : NVD — CVE-2026-114134

Analyse technique

La vulnérabilité concerne la GitHub Action de Black lorsque `use_pyproject: true`; un spécificateur non validé peut référencer directement du code contrôlé par un attaquant.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-11-05 à 21:18:36Z, soit 23:18:36+02:00, dans la période demandée.

ImpactLe code installé peut s’exécuter dans le contexte du workflow GitHub Actions du dépôt concerné.

Versions affectéesBlack < 26.10.1

Version corrigée26.10.1

ContournementDésactiver use_pyproject: true ou empêcher les workflows disposant de secrets ou de permissions sensibles d’exécuter du code provenant de pull requests non fiables jusqu’à la mise à niveau.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.7

Publication2026-11-05T23:18:36+02:00

Mise à jour2026-11-05T23:18:36+02:00

Détection / vérification

Vérifier si l’action Black est configurée avec use_pyproject: true et si les workflows traitent des pull requests non fiables.

Action recommandée

Mettre à jour Black vers 26.10.1 ou ultérieur et contrôler les modifications de pyproject.toml apportées aux pull requests.

Sources

NVD — CVE-2026-114134

Priorisation DFS : P3 · 1 source(s).