Veille sécuritéBackend & données
P3Élevée
Une injection de code dans la fonction check_det_dataset d’Ultralytics permet l’exécution de code Python dans le contexte de l’utilisateur qui ouvre le fichier ou la page malveillante. L’avis ZDI associé indique que la version affectée est 8.4.65 ; appliquez la version corrigée ou ultérieure.
Python
IdentifiantCVE-2026-118614
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif8.4.66 ou version ultérieure
Source : NVD — CVE-2026-118614
Analyse technique
La vulnérabilité concerne la validation d’une chaîne fournie par l’utilisateur avant son utilisation pour exécuter du code dans check_det_dataset. Une interaction de la victime est nécessaire.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T17:18:28.483Z, soit 2026-10-28T19:18:28+02:00, dans la période demandée. L’avis ZDI référencé par NVD est daté du 2026-10-28.
ImpactExécution de code avec les droits de l’utilisateur après ouverture d’un contenu malveillant.
Versions affectéesUltralytics 8.4.65
Version corrigée8.4.66 ou version ultérieure
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.8 · CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Publication2026-10-28T19:18:28+02:00
Action recommandée
Mettre à jour Ultralytics vers une version corrigée, au minimum 8.4.66.
Sources
Priorisation DFS : P3 · 1 source(s).