CVE-2026-3490
Publiée le 2026-06-17 · Dernière modification le 2026-10-26
Les versions de `picklescan` antérieures à la 1.0.4 sont affectées par une faille permettant à des attaquants de contourner les filtres de sécurité lors de l'analyse de données Python pickle. Un attaquant distant peut utiliser cette vulnérabilité pour exécuter du code arbitraire sur votre système en masquant des fonctions dangereuses. Cette exploitation est facile à réaliser, car elle ne nécessite aucune authentification ni interaction de l'utilisateur, et peut être déclenchée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
picklescan before 1.0.4 fails to block pkgutil.resolve_name, allowing attackers to bypass the entire blocklist by resolving any dangerous function through indirect REDUCE calls. Remote attackers can invoke any blocked function such as os.system, builtins.exec, or subprocess.call to achieve remote code execution.