CVE-2026-44722
Publiée le 2026-07-17 · Dernière modification le 2026-10-24
Les applications utilisant la bibliothèque Python `pyzipper` dans une version antérieure à la 0.4.0 pour chiffrer des fichiers ZIP sont concernées. Un attaquant qui obtient l'une de ces archives chiffrées peut utiliser des sommes de contrôle (checksums) divulguées pour effectuer une attaque par force brute et récupérer le texte en clair de fichiers petits ou simples. Cette attaque est facile à exécuter et ne nécessite aucune permission spéciale ni interaction de l'utilisateur, seulement un accès local au fichier ZIP résultant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pyzipper is a replacement for Python's zipfile that can read and write AES encrypted zip files. Prior to 0.4.0, a Python operator precedence bug in pyzipper/zipfile_aes.py caused the AE-2 format to never be automatically selected during encryption, causing encrypted entries to be written in AE-1 format and exposing the plaintext CRC32 checksum in the ZIP header and, for unseekable zip archives, in the datadescripter section, allowing an attacker who possesses the archive to brute-force candidate plaintexts for small or low-entropy files by comparing CRC32 values. This issue is fixed in version 0.4.0.