CVE-2026-120859

اسم البرنامج المصاب والإصدارات المتأثرة PyMoDAQ الإصدارات السابقة لـ 4.4.13 pymodaq data الإصدارات السابقة لـ 5.1.15 pymodaq gui الإصدارات السابقة لـ 5.1.15 pymodaq utils الإصدارات السابقة لـ 5.1.15 pymodaq data الإصدارات من 5.2.x إلى 5.2.13 pymodaq gui الإصدارات من 5.2.x إلى 5.2.13 pymodaq utils الإصدارات من 5.2.x إلى 5.2.13 pymodaq data الإصدارات من 5.3.x إلى 5.3.9 pymodaq gui الإصدارات من 5.3.x إلى 5.3.9 pymodaq utils الإصدارات من 5.3.x إلى 5.3.9

Description تسمح عملية إلغاء تسلسل البيانات غير الموثوقة وحقن eval للمهاجمين بتنفيذ تعليمات برمجية عشوائية عندما يفتح المستخدم ملفًا تم التلاعب به. يحدث هذا من خلال عدة طرق: تخزين كائنات pickled في عقد سلسلة HDF5 التي تعالجها StringARRAY.array to string() عبر pickle.loads()، أو وضع تعبيرات Python في سمات HDF5 التي تقيمها JsonConverter.json2object()، أو تقديم ملف .dock يقوم load layout state() بإلغاء تسلسله أثناء إجراء تحميل تخطيط لوحة القيادة، أو تضمين تعبيرات Python في ملفات إعدادات XML التي تقيمها elt to dict() و set txt from elt(). إلغاء التسلسل (Deserialization) هو عملية تحويل البيانات من تنسيق معين، مثل ملف، إلى كائن مرة أخرى، ويحدث حقن eval عندما يقوم التطبيق بتنفيذ مدخلات غير موثوقة ككود برمجى.

Recommendations تحديث PyMoDAQ إلى الإصدار 4.4.13 أو أحدث. تحديث pymodaq data إلى الإصدار 5.1.15 أو أحدث، أو 5.2.14 أو أحدث، أو 5.3.10 أو أحدث. تحديث pymodaq gui إلى الإصدار 5.1.15 أو أحدث، أو 5.2.14 أو أحدث، أو 5.3.10 أو أحدث. تحديث pymodaq utils إلى الإصدار 5.1.15 أو أحدث، أو 5.2.14 أو أحدث، أو 5.3.10 أو أحدث.