CVE-2026-22701: CWE-59：tox-dev filelock 中文件访问前链接解析不当（链接跟随）漏洞 - 实时威胁情报

严重性：中等 类型：漏洞 CVE：CVE-2026-22701

filelock 是一个跨平台的 Python 文件锁。在 3.20.3 版本之前，filelock 包的 SoftFileLock 实现中存在一个 TOCTOU 竞态条件漏洞。具有本地文件系统访问权限并能创建符号链接的攻击者，可以利用权限验证和文件创建之间的竞态条件，导致锁操作失败或行为异常。该漏洞发生在 _acquire() 方法中，位于 raise_on_not_writable_file()（权限检查）和 os.open()（文件创建）之间。在此竞态时间窗口内，攻击者可以在锁文件路径处创建一个符号链接，可能导致锁操作作用于非预期的目标文件，或导致拒绝服务。此问题已在 3.20.3 版本中修复。

技术摘要

CVE-2026-22701 标识了 Python filelock 包（3.20.3 版本之前）的 SoftFileLock 实现中一个存在的时间检查到时间使用（TOCTOU）竞态条件漏洞。该漏洞出现在 _acquire() 方法中，具体是在权限验证函数 raise_on_not_writable_file() 和后续创建锁文件的 os.open() 调用之间。在这个极短的竞态时间窗口内，具有本地文件系统访问权限并能创建符号链接的攻击者可以在锁文件路径处引入一个符号链接。这会导致锁操作作用于非预期的目标文件或目录，可能导致锁失败或行为不可预测。后果可能是通过阻止正确的锁获取而导致拒绝服务（DoS），或对原本未打算锁定的文件产生意外的副作用。该漏洞被归类于 CWE-59（文件访问前链接解析不当）、CWE-362（竞态条件）和 CWE-367（时间检查到时间使用竞态条件）。利用此漏洞需要具有创建符号链接权限的本地访问权限，无需用户交互，并且由于需要精确的时机把握，攻击复杂性较高。CVSS v3.1 基础评分为 5.3（中等严重性），反映出对机密性无影响，对完整性影响有限，但对可用性影响较高。目前尚未有已知的在野利用报告。该问题已在 filelock 3.20.3 版本中通过消除锁获取过程中的竞态条件得到修复。

潜在影响

对于欧洲组织而言，此漏洞的主要影响在于可能破坏依赖 filelock 包进行同步和并发控制的应用程序或服务。不正确的锁定可能导致应用程序逻辑中的竞态条件、数据损坏，或导致关键进程无法获取必要锁的拒绝服务场景。这可能影响软件开发环境、自动化构建系统、CI/CD 流水线以及任何使用 filelock 进行文件同步的基于 Python 的服务。虽然机密性不受直接影响，但依赖于 filelock 的操作的完整性和可用性可能受到损害。在用户具有本地访问权限并能创建符号链接的内部或共享开发环境中，组织面临的风险更高。该漏洞可能被恶意内部人员或已获得有限本地访问权限的攻击者利用。虽然没有已知的利用降低了直接风险，但中等严重性评分和易于修复的特点意味着组织应优先考虑修复以避免潜在的破坏。

缓解建议

欧洲组织应立即将 filelock 包升级到 3.20.3 或更高版本，以消除 TOCTOU 竞态条件。对于无法立即升级的环境，应考虑限制本地文件系统权限，以防止不受信任的用户创建符号链接，特别是在创建锁文件的目录中。实施监控以检测异常的符号链接创建或意外的锁文件行为。审查并加强开发和构建服务器的访问控制，仅限受信任人员拥有本地访问权限。此外，考虑使用不依赖文件系统锁或已验证无此类竞态条件的替代锁定机制。纳入安全测试和代码审查实践，以检测自定义同步代码中类似的 TOCTOU 漏洞。最后，保持对依赖项更新的关注并及时应用安全补丁。

受影响国家

德国、法国、英国、荷兰、瑞典、芬兰、丹麦、爱尔兰

来源：CVE Database V5 发布日期：2026年1月10日星期六

▲0▼Star | Medium | Vulnerability CVE-2026-22701 | cve | cve-2026-22701 | cwe-59 | cwe-362 | cwe-367

发布日期： 2026年1月10日星期六 (01/10/2026, 05:59:28 UTC) 来源： CVE Database V5 厂商/项目： tox-dev 产品： filelock

描述 filelock 是一个跨平台的 Python 文件锁。在 3.20.3 版本之前，filelock 包的 SoftFileLock 实现中存在一个 TOCTOU 竞态条件漏洞。具有本地文件系统访问权限并能创建符号链接的攻击者，可以利用权限验证和文件创建之间的竞态条件，导致锁操作失败或行为异常。该漏洞发生在 _acquire() 方法中，位于 raise_on_not_writable_file()（权限检查）和 os.open()（文件创建）之间。在此竞态时间窗口内，攻击者可以在锁文件路径处创建一个符号链接，可能导致锁操作作用于非预期的目标文件，或导致拒绝服务。此问题已在 3.20.3 版本中修复。

AI 驱动分析 AI 最后更新时间： 01/10/2026, 06:24:17 UTC

技术分析 （内容同上方“技术摘要”部分，此处从略以避免冗余）

潜在影响 （内容同上方“潜在影响”部分，此处从略以避免冗余）

缓解建议 （内容同上方“缓解建议”部分，此处从略以避免冗余）

受影响国家 （内容同上方“受影响国家”部分，此处从略以避免冗余）

需要更详细的分析？ 升级到 Pro 控制台

技术详情 数据版本： 5.2 分配者简称： GitHub_M 日期预留： 2026-01-08T19:23:09.856Z Cvss 版本： 3.1 状态： PUBLISHED 威胁 ID： 6961ed34c540fa4b542a0971 添加到数据库时间： 2026年1月10日，上午 6:09:56 最后丰富时间： 2026年1月10日，上午 6:24:17 最后更新时间： 2026年1月11日，上午 2:15:03 浏览量： 12

社区评论 0 条评论众包缓解策略、分享情报背景，并对最有帮助的回应进行投票。登录以发表您的意见，帮助防守方保持领先。 排序方式： 最受欢迎 | 最新 | 最早 撰写评论 社区提示 ▼ 正在加载社区见解… 想提供缓解步骤或威胁情报背景吗？ 登录或创建帐户以加入社区讨论。

相关威胁

CVE-2025-15505: Luxul XWR-600 中的跨站脚本漏洞 - 中等 - 漏洞 - 2026年1月11日星期日
CVE-2026-0824: questdb ui 中的跨站脚本漏洞 - 中等 - 漏洞 - 2026年1月10日星期六
CVE-2025-13393: CWE-918 marceljm Featured Image from URL (FIFU) 中的服务器端请求伪造（SSRF）漏洞 - 中等 - 漏洞 - 2026年1月10日星期六
CVE-2025-12379: CWE-79 averta Shortcodes and extra features for Phlox theme 中网页生成期间输入中和不当（跨站脚本）漏洞 - 中等 - 漏洞 - 2026年1月10日星期六
CVE-2026-0822: quickjs-ng quickjs 中的堆缓冲区溢出漏洞 - 中等 - 漏洞 - 2026年1月10日星期六

操作

更新 AI 分析 (PRO) - 更新 AI 分析需要 Pro 控制台访问权限。在控制台 → 账单中升级。

分享 外部链接

NVD 数据库
MITRE CVE
参考 1
参考 2
参考 3
在 Google 上搜索

需要更多覆盖范围？ 在控制台 -> 账单中升级到 Pro 控制台以获得 AI 刷新和更高限制。

如需事件响应和修复，OffSeq 服务可以帮助更快地解决威胁。

最新威胁 为需要了解接下来重要事项的安全团队提供实时情报。