CVE-2026-120833
Publiée le 2026-11-03 · Dernière modification le 2026-11-03
Les versions de Labbench antérieures à 0.46.1 sont un outil utilisé pour la gestion de données expérimentales. La faille se situe dans les fonctions `read()` et `read_relational()`, qui utilisent automatiquement `pandas.read_pickle` pour traiter tout fichier se terminant par `.p` ou `.pickle`. Comme les fichiers pickle peuvent contenir du code exécutable lors du processus de désérialisation, le logiciel fait aveuglément confiance à ces extensions de fichiers sans en valider le contenu.
Un attaquant peut compromettre entièrement le système en incitant un utilisateur à charger un fichier de données spécialement conçu. Cela permet l'exécution de code arbitraire, ce qui signifie que l'attaquant peut voler des données, modifier des fichiers ou faire planter le système. Cette exploitation ne nécessite aucun privilège ou authentification particulière, mais elle repose sur une interaction de l'utilisateur, car la victime doit ouvrir manuellement le fichier malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
labbench before 0.46.1 contains a deserialization of untrusted data vulnerability in read() and read_relational() that passes any file with a .p or .pickle extension to pandas.read_pickle based on the extension alone. Attackers who supply a crafted data file or relational data archive can execute arbitrary code when a user loads it with these functions.