Gnsehfvlr

Um problema de injeção de comando de SO existe nas funções `fill form()`, `dump data fields()` e `pdftk cmd util()`. O software constrói comandos de shell usando caminhos fornecidos pelo chamador. Um invasor que possa controlar as variáveis `pdf path` ou `out file` pode injetar metacaracteres de shell. Esses caracteres são interpretados pelo `subprocess.Popen` quando `shell=True` é utilizado, permitindo a execução de comandos de SO arbitrários com os privilégios do processo Python.

fast-toml through 0.5.4 contains a prototype pollution vulnerability that allows attackers to modify Object.prototype by supplying TOML containing proto , constructor or prototype key segments. Attackers can pass [ proto ] or [constructor.prototype] table headers or proto .x dotted keys to parse() to pollute all objects, causing denial of service or authorization bypass.

O comportamento ineficiente de expressões regulares em `geopy.Point` e na função `Point.from string()` pode levar ao consumo excessivo de CPU ao processar strings de coordenadas longas e malformadas. Este problema também afeta os métodos reversos do geocoder quando chamados com entradas de string. Um invasor pode causar a negação de serviço enviando requisições repetidas contendo tais strings. O construtor numérico de Point não é afetado.

O software instancia classes com base em um arquivo de configuração sem restringir quais classes podem ser nomeadas. A função `instantiate class` em `vocos/pretrained.py` utiliza o valor `class path` da configuração para importar um módulo via ` import ` e resolver um atributo usando `getattr`, chamando posteriormente o resultado como `args class(*args, **kwargs)` com argumentos do mapeamento `init args`. Como não há uma lista de permissões (allowlist) para restringir o caminho pontilhado, um arquivo de configuração pode especificar qualquer função chamável importável e seus argumentos. Este problema é acessível através de `Vocos.from hparams` para as entradas `feature extractor`, `backbone` e `head`, bem como através de `Vocos.from pretrained`, que baixa um arquivo `config.yaml` de um repositório do Hugging Face especificado. Consequentemente, o carregamento de um modelo de um repositório não confiável permite que o proprietário do repositório execute código arbitrário durante o processo de carregamento.