https://cyberveille.ch/tags/gdscript/ Recent content in GDScript on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-execution-de-code-arbitraire-via-les-fichiers-de-traduction-po-dans-godot-4-1/ Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-execution-de-code-arbitraire-via-les-fichiers-de-traduction-po-dans-godot-4-1/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 26 octobre 2026 par Tomasz Kaye (Axe Ghost) sur axeghost.offprint.app, cet article présente une divulgation publique anticipée d&rsquo;une vulnérabilité découverte dans le moteur de jeu <strong>Godot</strong>, affectant les versions <strong>4.1 et ultérieures</strong> (confirmée sur 4.7-stable). La divulgation intervient après l&rsquo;absence de réponse du vendor suite à un signalement privé effectué le 23 septembre 2026.</p> <h2 id="-vulnérabilité">🐛 Vulnérabilité</h2> <p>Le <strong>chargeur de traductions .po</strong> de Godot stocke l&rsquo;en-tête <code>Plural-Forms</code> sans validation grammaticale. Lors du premier appel à une traduction plurielle (<code>tr_n()</code>), cet en-tête est évalué par l&rsquo;évaluateur d&rsquo;expressions généraliste de Godot (<code>Expression</code>), qui peut appeler <strong>toutes les fonctions utilitaires enregistrées du moteur</strong>, y compris <code>bytes_to_var_with_objects()</code> — explicitement documentée comme dangereuse sur des entrées non fiables.</p>