CVE-2026-120859

Nome do Software Vulnerável e Versões Afetadas PyMoDAQ versões anteriores a 4.4.13 pymodaq data versões anteriores a 5.1.15 pymodaq gui versões anteriores a 5.1.15 pymodaq utils versões anteriores a 5.1.15 pymodaq data versões 5.2.x até 5.2.13 pymodaq gui versões 5.2.x até 5.2.13 pymodaq utils versões 5.2.x até 5.2.13 pymodaq data versões 5.3.x até 5.3.9 pymodaq gui versões 5.3.x até 5.3.9 pymodaq utils versões 5.3.x até 5.3.9

Description A desserialização de dados não confiáveis e a injeção de eval permitem que invasores executem código arbitrário quando um usuário abre um arquivo manipulado. Isso ocorre por meio de vários vetores: armazenamento de objetos pickled em nós de string HDF5 processados por StringARRAY.array to string() via pickle.loads(), inserção de expressões Python em atributos HDF5 avaliados por JsonConverter.json2object(), fornecimento de um arquivo .dock que load layout state() desserializa durante a ação de carregamento de layout do Dashboard, ou incorporação de expressões Python em arquivos de configuração XML avaliados por elt to dict() e set txt from elt(). Desserialização é o processo de converter dados de um formato, como um arquivo, de volta em um objeto, e a injeção de eval ocorre quando uma aplicação executa entradas não confiáveis como código.

Recommendations Atualize o PyMoDAQ para a versão 4.4.13 ou posterior. Atualize o pymodaq data para a versão 5.1.15 ou posterior, 5.2.14 ou posterior, ou 5.3.10 ou posterior. Atualize o pymodaq gui para a versão 5.1.15 ou posterior, 5.2.14 ou posterior, ou 5.3.10 ou posterior. Atualize o pymodaq utils para a versão 5.1.15 ou posterior, 5.2.14 ou posterior, ou 5.3.10 ou posterior.