VULNERABILIDADDetectada 20 OCT · 11:59

CVE-2026-112915 Base de datos SQLite manipulada en ReadWriteLock de filelock provoca bloqueos

En filelock desde 3.20.4 hasta 4.2.1, ReadWriteLock abre una base de datos SQLite de bloqueo manipulada sin acotar el trabajo de esquema y consultas, lo que permite a otro usuario local que pueda reemplazar la base de datos hacer que la adquisición se demore o se cuelgue. Se corrige en la versión 4.2.1.

5.5MEDIA

CVSS 3.1

Probabilidad de explotación0,2 %
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

tox-dev filelock
>= 3.20.4, < 4.2.1

Qué hacer

Verificá si usás filelock y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.5 MEDIA

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de ataqueLocal
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadNinguna
DisponibilidadAlta

Descripción original

filelock is a platform-independent file lock for Python. From 3.20.4 until 4.2.1, ReadWriteLock can open a crafted SQLite lock database without bounding schema and query work, allowing another local user who can replace the database to make acquisition stall or hang; versions from 3.20.4 expose this on initial per-instance opening, and versions from 3.30.0 repeat the exposure on every acquisition. This issue is fixed in version 4.2.1.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.