CVE-2026-112938— filelock 符号链接竞争条件漏洞
一分钟漏洞结论
影响对象
tox-dev filelock
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
filelock 是一个跨平台的 Python 文件锁库。在 3.30.0 至 4.2.1 版本中，在 POSIX 平台上，StrictSoftFileLock 和 AsyncStrictSoftFileLock 会在 _ensure_protocol_directory 方法中验证协调目录，但随后通过 _open_directory 方法以路径名访问声明目录。这导致一个本地账户可以在检查与使用之间，通过重命名协调目录名称并替换为符号链接，从而在获取锁的过程中实施竞争攻击。该竞争可能导致在另一个可写目录中创建并遗留
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-112938 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
filelock: StrictSoftFileLock follows a symbolic link swapped in at <path>.filelock and creates claim files in a directory another local user chooses
来源: CVE Program / CVE List V5
Vulnerability Description
filelock is a platform-independent file lock for Python. From 3.30.0 until 4.2.1, On POSIX platforms, StrictSoftFileLock and AsyncStrictSoftFileLock validate the coordination directory in _ensure_protocol_directory but later reach the claims directory through _open_directory by pathname, allowing a local account that can rename the coordination name to swap in a symbolic link between check and use during acquisition. That race can create and leave claim files in another writable directory or strand claims in a different strict lock so the second lock times out. Separately, the claims property and force_break follow a resting symbolic link without a race when the lock user inspects or recovers the lock. Claims inspection discloses a file name to the other account only if the resulting exception text or claim_name reaches that account through a shared log, CI output, or error report. A blind force_break recovery that removes live claims from another strict lock can allow two processes into that lock's critical section; this path reaches other strict locks, not arbitrary files. This issue is fixed in version 4.2.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
允许符号链接跟随的竞争条件
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-112938 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-112938 的情报信息
请登录查看更多情报信息。
CVE-2026-112938 补丁与修复 (1)
CVE-2026-112938 厂商页面 (1)
CVE-2026-112938 其他参考 (2)
-
https://github.com/tox-dev/filelock/security/advisories/GHSA-m462-7rxw-wvpg x_refsource_CONFIRM
同批安全公告 · tox-dev · 2026-11-05 · 共 5 条
| CVE-2026-112908 | 5.3 MEDIUM | filelock StrictSoftFileLock 竞争条件漏洞 |
| CVE-2026-112910 | 5.3 MEDIUM | filelock Windows 锁文件权限继承漏洞 |
| CVE-2026-112913 | 3.3 LOW | filelock Windows 本地 SQLite 文件被恶意替换漏洞 |
| CVE-2026-112907 | 2.5 LOW | filelock 在 Windows 上软锁标记超时阻塞漏洞 |