CVE-2026-120499

Nome do Software Vulnerável e Versões Afetadas h5io versões anteriores a 0.2.6

Description Um problema de injeção de código existe na função read hdf5() que permite a execução de código arbitrário por meio de um arquivo HDF5 especialmente criado. Isso pode ser alcançado armazenando código Python em um nó intitulado timezone, que é processado pela função triage read() usando eval() com builtins acessíveis. Além disso, invasores podem especificar um módulo arbitrário em nós class ou custom-object que a função import class() importa, ou incluir objetos pickled em nós pd dataframe ou pd series que são desserializados pelo pandas durante o processo de leitura.

Recommendations Atualize o h5io para a versão 0.2.6 ou posterior.