FICHE CVE

CVE-2026-74899

Publiée le 2026-08-17 · Dernière modification le 2026-08-28

🇫🇷 EN BREF

Les versions d'openssl_encrypt antérieures à la 1.4.0 sont affectées par une évasion de bac à sable (sandbox escape) qui permet aux attaquants de sortir de l'environnement d'exécution restreint. En manipulant les hiérarchies de classes Python, un attaquant distant peut exécuter des commandes arbitraires du système d'exploitation sur votre serveur. Cette attaque est facile à réaliser, ne nécessite ni authentification ni interaction de l'utilisateur, et peut être lancée via le réseau.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-95

Publiée2026-08-17

Dernière modification2026-08-28

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

openssl_encrypt versions before 1.4.0 contain a sandbox escape vulnerability in IsolatedPluginExecutor that exposes Python type objects in restricted exec() builtins. Attackers can traverse the Python class hierarchy via __class__.__mro__.__subclasses__() to access system functions and execute arbitrary OS commands.