CVE-2026-104851

Nome do Software Vulnerável e Versões Afetadas fsspec versões 0.9.0 até 2026.6.0

Descrição O fsspec.implementations.reference.ReferenceFileSystem avalia campos de documentos JSON de referência Kerchunk usando chamadas irrestritas de jinja2.Template(...).render(...) dentro das funções process references1. render jinja, process templates e process gen em fsspec/implementations/reference.py. Um invasor pode fornecer um documento malicioso de forma inline ou via URL controlada contendo expressões de template que executam código Python arbitrário quando o sistema de arquivos de referência é aberto, o que pode ocorrer através de consumidores como xarray antes que os dados sejam lidos. O caminho process gen é acionado sempre que um documento inclui um array gen, enquanto os outros caminhos dependem de opções e valores relacionados a templates.

Recomendações Atualize o fsspec para a versão 2026.6.0.