PT-2026-60965
CVE-2026-9147
·
تاريخ النشر
2026-07-18
·
تاريخ التحديث
2026-08-28
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
uproot (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يقوم البرنامج بإنشاء شفرة مصدر لفئة Python ديناميكيًا من سجلات ROOT TStreamerInfo الموجودة في ملف ما، ثم يقوم بترجمة هذه الشفرة في وقت التشغيل. يتم إدراج حقول معينة من بيانات تعريف البث، مثل أسماء عناصر البث، في شفرة مصدر Python التي تم إنشاؤها دون استخدام علامات اقتباس آمنة. وهذا يسمح للمهاجم بتقديم ملف ROOT مُصمم خصيصًا يحتوي على محتوى يكسر تعبيرات Python داخل حقل من حقول بيانات تعريف جهاز البث. وعندما يقوم البرنامج بإنشاء واستدعاء طريقة القارئ المقابلة، يتم تقييم التعبير المُحقن، مما يؤدي إلى تنفيذ تعليمات برمجية Python تعسفية في التطبيقات التي تعالج الملف الخبيث.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾