Veille sécuritéBackend & données
P3Élevée
Treeio jusqu’à la version 2.0 désérialise des données pickle non vérifiées dans des fonctions liées aux flux d’actualité. Un membre du personnel pouvant enregistrer une charge forgée dans l’administration Django peut ainsi faire exécuter du code avec les privilèges du serveur Web; aucune version corrigée n’est établie par les éléments consultés.
Python
IdentifiantCVE-2026-124318
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124318
Analyse technique
Désérialisation pickle non sûre dans UpdateRecord.get_format_strings et ModuleSetting.loads; le scénario décrit suppose un accès de membre du personnel à l’administration.
Impact, versions et correctif
Événement datéLa publication NVD horodatée 2026-11-07T15:17:16.270Z correspond à 2026-11-07T17:17:16.270+02:00, dans la période retenue.
ImpactExécution de code à distance dans le contexte du serveur Web par un membre du personnel autorisé à modifier les données concernées.
Versions affectéesTreeio jusqu’à 2.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
Publication2026-11-07T17:17:16.270+02:00
Mise à jour2026-11-07T17:17:16.270+02:00
Action recommandée
Limiter l’accès à l’administration Django aux personnes de confiance et surveiller les annonces du projet pour un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).