FICHE CVE

CVE-2026-84809

Publiée le 2026-09-02 · Dernière modification le 2026-09-24

🇫🇷 EN BREF

Le composant skill-scan de Tencent AI-Infra-Guard ne parvient pas à analyser le bytecode Python compilé, ce qui permet à un attaquant de masquer du code malveillant dans des fichiers `.pyc` ou `.pyo` tout en fournissant un code source inoffensif pour tromper le scanner. Si vous installez une compétence malveillante contenant ces fichiers, l'attaquant peut exécuter du code arbitraire sur votre système. Cette attaque est facile à réaliser via un réseau et ne nécessite aucun privilège particulier, bien qu'elle dépende de l'installation manuelle de la compétence compromise par l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

Défaillance d'un mécanisme de protection · CWE-693

Publiée2026-09-02

Dernière modification2026-09-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Tencent AI-Infra-Guard's skill-scan component excludes compiled Python bytecode files from analysis by hardcoding __pycache__ directories and .pyc/.pyo/.pyd extensions into skip lists across multiple scanning surfaces. Attackers can distribute skills with benign Python source files alongside malicious compiled bytecode that executes on import while the scanner reports a safe verdict, enabling code execution when operators install the skill.