FICHE CVE

CVE-2026-17084

Publiée le 2026-08-18 · Dernière modification le 2026-10-22

🇫🇷 EN BREF

Les logiciels utilisant le module Python `stringprep` pour traiter des noms de domaine via IDNA 2003 peuvent gérer de manière incohérente certains caractères Unicode spécifiques. Un attaquant pourrait potentiellement exploiter cela pour contourner des filtres de sécurité ou usurper des noms de domaine, bien que cela nécessite qu'une victime interagisse avec un lien ou une saisie spécialement conçus. L'attaque s'effectue via le réseau et ne nécessite pas d'authentification, mais elle dépend de la présence de caractères spécifiques et rarement utilisés.

CVSS 4.06.0 MOYENNE

Type de faiblesse

CWE-436

Publiée2026-08-18

Dernière modification2026-10-22

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

The "stringprep" module didn't process characters from RFC 3454 tables B.2 or B.3 correctly: the latest Unicode codepoint attributes were used instead of the specified Unicode 3.2.0. This behavior would cause mismatches when processing domain names using IDNA 2003 (the "idna" codec) and the in_table_b2() function of the "stringprep" module. This only affects domain names containing characters that were not previously registered or had their Unicode attributes such as case-folding behavior updated since Unicode 3.2.0.