PT-2026-137562
CVE-2026-120499
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
h5io الإصدارات السابقة لـ 0.2.6
Description
توجد ثغرة حقن تعليمات برمجية في الدالة
read hdf5() تسمح بتنفيذ تعليمات برمجية عشوائية من خلال ملف HDF5 مصمم خصيصاً. يمكن تحقيق ذلك عن طريق تخزين كود Python في عقدة بعنوان timezone تقوم الدالة triage read() بتمريرها إلى eval() مع إمكانية الوصول إلى الدوال المدمجة (builtins). بالإضافة إلى ذلك، يمكن للمهاجمين تحديد وحدة نمطية عشوائية في عقد class أو custom-object تقوم الدالة import class() باستيرادها، أو وضع كائنات pickled في عقد pd dataframe أو pd series التي يقوم pandas بإلغاء تسلسلها أثناء القراءة.Recommendations
تحديث h5io إلى الإصدار 0.2.6 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾