CVE-2026-22701 in filelock
Riassunto
di VulDB • 18/06/2026
Filelock è un blocco di file indipendente dalla piattaforma per Python. Prima della versione 3.20.3, esiste una vulnerabilità da race condition TOCTOU (Time-of-Check to Time-of-Use) nell'implementazione SoftFileLock del pacchetto filelock. Un attaccante con accesso al filesystem locale e autorizzazione a creare symlink può sfruttare una condizione di gara tra la validazione dei permessi e la creazione del file, causando il fallimento delle operazioni di blocco o un comportamento imprevisto. La vulnerabilità si verifica nel metodo _acquire() tra raise_on_not_writable_file() (controllo dei permessi) e os.open() (creazione del file). Durante questa finestra temporale critica, un attaccante può creare un symlink al percorso del file di lock, potenzialmente facendo sì che il blocco operi su un file target non intenzionale o portando a una negazione del servizio. Questo problema è stato risolto nella versione 3.20.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.