Black: Écriture de fichiers arbitraires à partir d'entrées utilisateur non validées dans le nom du fichier cache

Cette vulnérabilité permet à un attaquant contrôlant la valeur de l'option --python-cell-magics d'écrire des fichiers cache à des emplacements arbitraires sur le système de fichiers. Cela peut conduire à une compromission du système, incluant la modification de fichiers critiques, l'exécution de code malveillant, ou la divulgation d'informations sensibles. L'attaquant pourrait potentiellement prendre le contrôle du processus Black ou même du système hôte, en fonction des privilèges de l'utilisateur exécutant Black et des permissions sur les fichiers cibles. Bien qu'il n'y ait pas de cas d'exploitation publique connus à ce jour, la possibilité d'écrire des fichiers arbitraires représente un risque significatif.

Developers and DevOps teams using Black in automated pipelines or CI/CD systems are particularly at risk. Environments where Black is integrated with third-party tools or services that provide untrusted input to the --python-cell-magics option are also vulnerable. Shared hosting environments where multiple users have access to the Black command-line interface should be carefully reviewed.

• python / code formatting:

Get-Process -Name Black | Select-Object -ExpandProperty Path

• python / code formatting: Check for unusual cache files in unexpected locations (e.g., /etc/passwd.black_cache). • python / code formatting: Monitor command-line arguments passed to Black for suspicious paths or characters in the --python-cell-magics option. • python / code formatting: Review Black configuration files for any hardcoded or default values for --python-cell-magics that could be exploited.

1. 2026-03-12Disclosure

   disclosure

1. Réservé2026-03-11
2. Publiée2026-03-12
3. Modifiée2026-03-16
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Black vers la version 26.3.1 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est crucial d'éviter de permettre l'entrée utilisateur non fiable dans la valeur de l'option --python-cell-magics. Si l'option est nécessaire, validez et nettoyez rigoureusement toute entrée utilisateur avant de l'utiliser. Envisagez de restreindre les permissions sur les répertoires où Black écrit ses fichiers cache pour limiter l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez que l'option --python-cell-magics est correctement validée et que les fichiers cache sont écrits dans un emplacement sécurisé.