CVE-2026-112941
Publiée le 2026-10-20 · Dernière modification le 2026-10-28
Les applications Python utilisant les versions 4.1.0 à 4.2.0 de la bibliothèque `filelock` sont concernées. Cette bibliothèque permet à différents processus de verrouiller des fichiers afin d'éviter la corruption des données lors d'accès simultanés. La faille se situe dans les classes `SoftReadWriteLock` et `AsyncSoftReadWriteLock`, qui mettent en cache le chemin de l'arborescence de verrouillage et ne le vérifient pas lors des opérations suivantes.
Un attaquant local disposant de permissions d'utilisateur basiques peut exploiter cette vulnérabilité en remplaçant l'arborescence de verrouillage mise en cache par un lien symbolique vers un répertoire qu'il contrôle. Cela lui permet de rediriger l'écriture de fichiers vers un emplacement non prévu, compromettant potentiellement l'intégrité d'autres fichiers que l'application est autorisée à modifier. Comme cela nécessite un accès local au shell et n'affecte ni la confidentialité ni la disponibilité, le risque est relativement faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filelock is a platform-independent file lock for Python. From 4.1.0 until 4.2.1, SoftReadWriteLock and AsyncSoftReadWriteLock cache a successful check of the <path>.rw lock tree and resolve its names again during later record operations, allowing another local user who can replace that tree after the first acquisition to redirect lock-record writes into directories writable by the lock user. This issue is fixed in version 4.2.1.