CVE-2026-112912 Intercambio de enlace simbólico en la verificación de escritura de SoftFileLock de filelock revela si una…

Qué es CVE-2026-112912

Desde 3.32.6 hasta 4.2.1, SoftFileLock puede seguir un enlace simbólico intercambiado durante la verificación condicional de escritura con os.access para un nodo sin bit de escritura del propietario, permitiendo a otro usuario local, en una plataforma y configuración de directorio que sigue el enlace, inferir si una ruta elegida existe y es escribible a partir del resultado observable de la adquisición. Se corrige en la versión 4.2.1.

Productos y versiones afectadas

• tox-dev filelock

  • >= 3.32.6, < 4.2.1

Qué hacer

1. Verificá si usás filelock y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 2.5 BAJA

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

filelock is a platform-independent file lock for Python. From 3.32.6 until 4.2.1, SoftFileLock can follow a swapped symbolic link during the conditional os.access writability check for a node without its owner-write bit, allowing another local user on a platform and directory configuration that follows the link to infer whether a chosen path exists and is writable from the observable acquisition result. This issue is fixed in version 4.2.1.

Referencias

• github.com/tox-dev/filelock/security/advisories/GHSA-9j6q-wvj5-jgjgX_REFSOURCE_CONFIRM
• github.com/tox-dev/filelock/pull/835X_REFSOURCE_MISC
• github.com/tox-dev/filelock/commit/e1e825b1992f69fb6b346dc395d5ae4893536c0aX_REFSOURCE_MISC
• github.com/tox-dev/filelock/releases/tag/4.2.1X_REFSOURCE_MISC

Historial de la alerta

1. 20 OCT · 12:00VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.