Pylint — exécution de code via un cache de statistiques pickle modifiable

Veille sécuritéBackend & données

P4Moyenne

Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire dans un tel répertoire peut y placer un fichier malveillant qui exécutera du code avec les privilèges du prochain utilisateur lançant Pylint; le correctif est inclus en version 4.0.9.

IdentifiantCVE-2026-114608

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.0.9

Source : NVD — CVE-2026-114608

Analyse technique

Les statistiques de modules sont chargées depuis des fichiers prévisibles sous PYLINT_HOME à l’aide de pickle.load. Le risque suppose un cache partagé, accessible en écriture par un tiers ou autrement non fiable; le cache privé par défaut n’est généralement pas accessible à un autre utilisateur.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-22T17:16:58.750Z, pendant la période; la publication d’une vulnérabilité nouvelle est retenue.

ImpactExécution de code avec les privilèges de l’utilisateur qui lance Pylint.

Versions affectéesPylint 0.15.2 à versions antérieures à 4.0.9

Version corrigée4.0.9

ContournementÉviter les répertoires de cache partagés ou modifiables par des utilisateurs non fiables.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

Publication2026-10-22T17:16:58.750Z

Mise à jour2026-10-22T17:40:46.877Z

Action recommandée

Mettre à niveau Pylint vers la version 4.0.9 ou ultérieure; ne pas utiliser de répertoire PYLINT_HOME partagé ou modifiable par des utilisateurs non fiables.

Sources

NVD — CVE-2026-114608

Priorisation DFS : P4 · 1 source(s).