PT-2026-50451
CVE-2025-71320
·
تاريخ النشر
2025-12-29
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات picklescan الأقدم من 0.0.33
الوصف
تؤدي قائمة الحظر غير الكاملة إلى عدم حجب الدالتين
pydoc.locate() وoperator.methodcaller(). وهذا يتيح للمهاجمين عن بُعد تجاوز الفحوصات الأمنية عن طريق إنشاء ملفات pickle ضارة. يمكن للدالة pydoc.locate() تحليل واستيراد وحدات نمطية عشوائية ديناميكيًا، بينما تتيح الدالة operator.methodcaller() تنفيذ طريقة على كائن ما. وعند الجمع بين هاتين الدالتين، يمكن استخدامهما لتنفيذ تعليمات برمجية عشوائية أثناء عملية إزالة التسلسل لملف pickle.التوصيات
قم بالتحديث إلى الإصدار 0.0.33 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾