FICHE CVE

CVE-2026-4539

Publiée le 2026-03-22 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Pygments (jusqu'à la version 2.19.2) présente une faille dans son analyseur syntaxique (lexer) Archetype qui peut être déclenchée par une entrée spécifiquement conçue. Un attaquant disposant d'un accès local et authentifié peut provoquer le blocage ou le plantage du système en déclenchant une expression régulière inefficace, entraînant ainsi un déni de service. Cette opération est relativement facile à exécuter, bien qu'elle nécessite que l'attaquant ait déjà un accès initial au système.

CVSS 4.01.9 FAIBLE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-03-22

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security flaw has been discovered in pygments up to 2.19.2. The impacted element is the function AdlLexer of the file pygments/lexers/archetype.py. The manipulation results in inefficient regular expression complexity. The attack is only possible with local access. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.