Lors du décompactage d’archives avec les interfaces en ligne de commande de tarfile ou zipfile, un fichier Python extrait pouvait masquer un module de la bibliothèque standard ; une erreur au décompactage d’un fichier suivant pouvait alors provoquer son exécution. Appliquer la correction des interfaces de ligne de commande de gzip, tarfile et zipfile, qui retire sys.path[0] pour empêcher ce masquage.
Source : NVD — CVE-2026-115791
Analyse technique
Le répertoire courant, où l’archive est décompactée, est ajouté à sys.path lors de l’exécution de python -m MODULE ; un module extrait tel que traceback.py peut ainsi être importé à la place du module standard.
Impact, versions et correctif
Action recommandée
Installer une version de Python intégrant la correction des interfaces gzip, tarfile et zipfile en ligne de commande.
Sources
Priorisation DFS : P4 · 1 source(s).