CVE-2020-13091

Versões do pandas de 1.0.0 a 1.0.3

A vulnerabilidade permite que arquivos não confiáveis passados para a função read pickle() possam potencialmente deserializar e executar comandos, especificamente se reduce fizer uma chamada os.system. Observa-se que a função read pickle() está documentada como insegura, e os usuários são responsáveis por utilizá-la com segurança. Há uma controvérsia em relação a essa vulnerabilidade por parte de terceiros.

Para as versões 1.0.0 a 1.0.3, considere evitar o uso de arquivos não confiáveis com a função read pickle() até que uma abordagem segura seja implementada. Como solução temporária, restrinja o uso de arquivos que possam potencialmente fazer chamadas os.system por meio do método reduce. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.