FICHE CVE

CVE-2026-40319

Publiée le 2026-04-17 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les utilisateurs du framework de test d'IA Giskard (versions antérieures à 1.0.2b1) sont concernés par une faille où une expression régulière malveillante peut faire planter le système. Un attaquant peut bloquer le processus indéfiniment en déclenchant un « backtracking catastrophique », entraînant un déni de service. Cette faille est difficile à exploiter car elle nécessite que l'attaquant dispose d'un accès local en écriture pour modifier la définition d'un contrôle et qu'un utilisateur exécute manuellement la suite de tests.

CVSS 4.01.0 FAIBLE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-04-17

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Giskard is an open-source testing framework for AI models. In versions prior to 1.0.2b1, the RegexMatching check passes a user-supplied regular expression pattern directly to Python's re.search() without any timeout or complexity guard. A crafted regex pattern can trigger catastrophic backtracking, causing the process to hang indefinitely. Exploitation requires write access to a check definition and subsequent execution of the test suite. This issue has been fixed in giskard-checks version 1.0.2b1.