p PatchFirst

CVE-2026-112937

CVE-2026-112937 · filelock: ReadWriteLock on the hard-link route deletes any directory another user renames onto its .filelock-* link directory name

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

filelock is a platform-independent file lock for Python. From 4.1.0 until 4.2.1, ReadWriteLock can remove a randomized .filelock-* private-hard-link directory during cleanup, allowing another local user with rename access in a non-sticky parent to observe a live name or forge a dead-owner sweep name and rename a sibling directory onto it for deletion. This issue is fixed in version 4.2.1.

CVSS 6.1 · Moyenne · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • filelock

    Versions du logiciel
    • >= 4.1.0, < 4.2.1: Concernée

    Aucun correctif publié

  • python-filelock Debian:12

    Versions du logiciel
    • 3.12.2-1
    • 3.12.3-1
    • 3.12.4-1
    • 3.13.1-1
    • 3.13.3-1
    • 3.13.4-1
    • 3.14.0-1
    • 3.15.4-1
    • 3.16.1-1
    • 3.16.1-2
    • 3.17.0-1
    • 3.18.0-1
    • 3.19.1-1
    • 3.20.0-1
    • 3.20.2-1
    • 3.20.3-1
    • 3.24.3-1
    • 3.25.0-1
    • 3.25.2-1
    • 3.29.0-1
    • 3.29.4-1
    • 3.29.5-1
    • 3.29.7-1
    • 3.32.0-1
    • 3.32.2-1
    • 3.32.4-1
    • 3.32.4-2
    • 3.32.5-1
    • 3.32.6-1
    • 3.9.0-1
    • 3.9.0-1+deb12u1
    • 4.0.1-1
    • 4.0.12-1
    • 4.1.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Debian:13

    Versions du logiciel
    • 3.18.0-1
    • 3.18.0-1+deb13u1
    • 3.19.1-1
    • 3.20.0-1
    • 3.20.2-1
    • 3.20.3-1
    • 3.24.3-1
    • 3.25.0-1
    • 3.25.2-1
    • 3.29.0-1
    • 3.29.4-1
    • 3.29.5-1
    • 3.29.7-1
    • 3.32.0-1
    • 3.32.2-1
    • 3.32.4-1
    • 3.32.4-2
    • 3.32.5-1
    • 3.32.6-1
    • 4.0.1-1
    • 4.0.12-1
    • 4.1.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Debian:14

    Versions du logiciel
    • 3.18.0-1
    • 3.19.1-1
    • 3.20.0-1
    • 3.20.2-1
    • 3.20.3-1
    • 3.24.3-1
    • 3.25.0-1
    • 3.25.2-1
    • 3.29.0-1
    • 3.29.4-1
    • 3.29.5-1
    • 3.29.7-1
    • 3.32.0-1
    • 3.32.2-1
    • 3.32.4-1
    • 3.32.4-2
    • 3.32.5-1
    • 3.32.6-1
    • 4.0.1-1
    • 4.0.12-1
    • 4.1.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • filelock PyPI

    Versions du logiciel
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.2.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 4.1.0, < 4.2.1

    Mettez à jour vers 4.2.1

  • python-filelock Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 2.0.11-1
    • 2.0.12-1
    • 2.0.13-1
    • 3.0.0-2
    • 3.0.3-1
    • 3.0.4-1
    • 3.0.4-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 3.0.12-1
    • 3.0.12-2
    • 3.0.12-2ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 3.0.12-2
    • 3.3.2-1
    • 3.4.0-1
    • 3.4.2-1
    • 3.4.2-2
    • 3.6.0-1
    • 3.6.0-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 3.12.2-1
    • 3.12.4-1
    • 3.13.1-1
    • 3.13.1-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Ubuntu:26.10

    Versions du logiciel
    • 3.20.3-1
    • 3.29.4-1
    • 3.32.0-1
    • 3.32.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-filelock Ubuntu:26.04:LTS

    Versions du logiciel
    • 3.18.0-1
    • 3.20.0-1
    • 3.20.2-1
    • 3.20.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →