CVE-2025-71321

إصدارات picklescan الأقدم من 0.0.33

توجد مشكلة تتعلق بكتابة ملفات عشوائية، وذلك لأن قائمة الحظر الافتراضية لا تتضمن الوحدة النمطية distutils. على الرغم من حظر open() وshutil لمنع الكتابة فوق الملفات دون إذن، يمكن للمهاجمين تجاوز هذه القيود باستخدام الدالة distutils.file util.write file. ومن خلال إنشاء كائنات pickle ضارة، يمكن للمهاجم الكتابة فوق ملفات النظام الحيوية، مثل تكوينات خادم الويب أو شفرة المصدر أو ملف .ssh/authorized keys، مما يؤدي إلى رفض الخدمة أو تنفيذ التعليمات البرمجية عن بُعد.

قم بالتحديث إلى الإصدار 0.0.33 أو أحدث.

كإجراء تخفيفي مؤقت، أضف distutils إلى قائمة الحظر لمنع استخدام distutils.file util.write file.