CVE-2026-112939

Estado: RecibidaMedia (4.7)—

Gravedad4.7Media · CVSS 3.1

Probabilidad de explotación—en los próximos 30 días

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

filelock es un bloqueo de archivos multiplataforma para Python. Desde la versión 3.22.0 hasta la 4.2.1, SoftFileLock puede confiar en un identificador de proceso falsificado en un marcador que un atacante puede modificar pero no eliminar, lo que permite que un competidor autorizado, como otro proceso de la cuenta del titular o root, actúe como confused deputy, elimine el marcador activo y admita a otro titular. Este fallo está corregido en la versión 4.2.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 4.7
Versión: 3.1
Vector: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1068 Exploitation for Privilege Escalationprivilege escalation85 %
Impacto principalT1565 Data Manipulationimpact40 %

El vector AV:L/PR:L/UI:N indica escalada local sin interacción (T1068). El texto describe retirar el marcador activo y admitir otro titular, lo que sugiere manipulación de datos; no menciona paquetes ni actualizaciones, así que descarto T1195.002.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Threat Intelligence Program Restrict File and Directory Permissions Remote Data Storage Network Segmentation Execution Prevention Encrypt Sensitive Information

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Tox-dev — Filelock^AI

CWE

CWE-345

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-112939",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-112939",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-20T15:14:32.481979Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.7,
          "attackVector": "LOCAL",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 1
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "tox-dev",
          "product": "filelock",
          "versions": [
            {
              "status": "affected",
              "version": ">= 3.22.0, < 4.2.1"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T15:17:16.663",
  "references": [
    {
      "url": "https://github.com/tox-dev/filelock/commit/eeceaa846cbe4df72718d94c8371ca1ab8f5b3cc",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/tox-dev/filelock/pull/836",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/tox-dev/filelock/releases/tag/4.2.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/tox-dev/filelock/security/advisories/GHSA-rfpc-qcw5-3pc4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/tox-dev/filelock/security/advisories/GHSA-rfpc-qcw5-3pc4",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-345"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "filelock is a platform-independent file lock for Python. From 3.22.0 until 4.2.1, SoftFileLock can trust a forged process identifier in a marker that an attacker can modify but cannot remove, allowing an authorized contender such as another process of the holder's account or root to act as a confused deputy, remove the live marker, and admit another holder. This issue is fixed in version 4.2.1."
    }
  ],
  "lastModified": "2026-10-20T16:17:04.630",
  "sourceIdentifier": "security-advisories@github.com"
}