CVE-2026-112936— filelock 通过符号链接 SQLite 远程代码执行漏洞
一分钟漏洞结论
影响对象
tox-dev filelock
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
filelock 是一个跨平台的 Python 文件锁库。在 3.20.4 至 4.0.9 版本中，ReadWriteLock 和 AsyncReadWriteLock 的实现会解析锁路径并将其传递给 SQLite，但未拒绝最终符号链接。这使得能够向锁目录写入文件名的本地用户可以重定向数据库的创建与锁定过程，或在不同目标之间破坏互斥机制。该问题已在 4.0.9 版本中修复。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-112936 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
filelock: ReadWriteLock follows a symlink at the lock path into SQLite
来源: CVE Program / CVE List V5
Vulnerability Description
filelock is a platform-independent file lock for Python. From 3.20.4 until 4.0.9, ReadWriteLock and AsyncReadWriteLock versions from 3.20.4 resolve the lock path and pass it to SQLite without rejecting a final symbolic link, allowing another local user who can create names in the lock directory to redirect database creation and locking or split mutual exclusion between targets. This issue is fixed in version 4.0.9.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
在文件访问前对链接解析不恰当(链接跟随)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-112936 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-112936 的情报信息
请登录查看更多情报信息。
CVE-2026-112936 其他参考 (3)
-
https://github.com/tox-dev/filelock/releases/tag/4.0.9 x_refsource_MISC
-
https://github.com/tox-dev/filelock/security/advisories/GHSA-j8f7-rjxc-mr56 x_refsource_CONFIRM
同批安全公告 · tox-dev · 2026-10-20 · 共 13 条
| CVE-2026-112940 | 7.1 HIGH | filelock ReadWriteLock 任意文件覆盖漏洞 |
| CVE-2026-112911 | 6.3 MEDIUM | filelock 互斥失效漏洞 |
| CVE-2026-112909 | 6.1 MEDIUM | filelock UnixFileLock 任意文件覆盖与权限篡改漏洞 |
| CVE-2026-112934 | 6.1 MEDIUM | filelock 软读写锁通过硬链接刷新导致命名管道挂起漏洞 |
| CVE-2026-112937 | 6.1 MEDIUM | filelock 目录重命名导致数据删除漏洞 |
| CVE-2026-112915 | 5.5 MEDIUM | filelock ReadWriteLock 远程拒绝服务漏洞 |
| CVE-2026-112914 | 5.3 MEDIUM | filelock 符号链接硬链接导致任意文件覆盖漏洞 |
| CVE-2026-112906 | 4.7 MEDIUM | filelock 本地用户通过 inode 重用覆盖锁文件漏洞 |
| CVE-2026-112935 | 4.7 MEDIUM | filelock SoftFileLock 锁文件误删导致并发竞争漏洞 |
| CVE-2026-112939 | 4.7 MEDIUM | filelock 任意用户伪造 PID 删除锁漏洞 |
| CVE-2026-112941 | 3.3 LOW | filelock 软读写锁目录写入漏洞 |
| CVE-2026-112912 | 2.5 LOW | filelock 软锁检查中的符号链接交换路径存在性泄漏 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-112936
暂无评论