CVE-2026-112940
Publiée le 2026-10-20 · Dernière modification le 2026-10-22
Les applications Python utilisant la bibliothèque `filelock` (versions 3.20.4 à 4.2.0) sont concernées. Cette bibliothèque permet de verrouiller des fichiers sur différentes plateformes afin d'éviter la corruption des données. La faille se situe dans la fonctionnalité `ReadWriteLock`, qui permet à SQLite de rouvrir des bases de données et des fichiers annexes par leur nom, créant ainsi une opportunité d'attaque par permutation de fichiers (file-swap) sur les systèmes POSIX.
Un attaquant disposant d'un accès utilisateur local et de la capacité de renommer des fichiers dans un répertoire parent sans bit « sticky » peut permuter les noms de fichiers pour amener l'application à écraser ou supprimer des fichiers critiques. Cela impacte l'intégrité et la disponibilité du système, bien que la confidentialité ne soit pas compromise. L'attaque est relativement facile à exécuter une fois l'accès local obtenu, bien que l'attaquant ait spécifiquement besoin d'un journal temporaire (hot journal) adjacent et accessible en écriture pour contrôler le contenu écrasé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filelock is a platform-independent file lock for Python. From 3.20.4 until 4.2.1, ReadWriteLock let SQLite reopen the database and side files by name; on POSIX systems an attacker with rename access in a non-sticky parent can swap those names to cause overwrite or unlink operations, while a writable adjacent hot journal is additionally required for attacker-chosen content overwrites. This issue is fixed in version 4.2.1.