Exécution de code arbitraire via les fichiers de traduction .po dans Godot 4.1+
🔍 Contexte Publié le 26 octobre 2026 par Tomasz Kaye (Axe Ghost) sur axeghost.offprint.app, cet article présente une divulgation publique anticipée d’une vulnérabilité découverte dans le moteur de jeu Godot, affectant les versions 4.1 et ultérieures (confirmée sur 4.7-stable). La divulgation intervient après l’absence de réponse du vendor suite à un signalement privé effectué le 23 septembre 2026. 🐛 Vulnérabilité Le chargeur de traductions .po de Godot stocke l’en-tête Plural-Forms sans validation grammaticale. Lors du premier appel à une traduction plurielle (tr_n()), cet en-tête est évalué par l’évaluateur d’expressions généraliste de Godot (Expression), qui peut appeler toutes les fonctions utilitaires enregistrées du moteur, y compris bytes_to_var_with_objects() — explicitement documentée comme dangereuse sur des entrées non fiables. ...