CVE-2017-16618
KrytyczneStreszczenie
W funkcjonalności ładowania YAML w util.py w OwlMixin przed wersją 2.0.0a12 występuje podatność, która może być wykorzystana. Użycie funkcji load zamiast safe_load pozwala na wykonanie dowolnych poleceń Pythona poprzez wstrzyknięcie kodu do załadowanego YAML.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych.
Rekomendacja
Zaleca się aktualizację OwlMixin do wersji 2.0.0a12 lub nowszej, aby usunąć tę podatność oraz stosowanie safe_load zamiast load przy ładowaniu YAML.
Oryginalny opis (angielski, źródło NVD)
An exploitable vulnerability exists in the YAML loading functionality of util.py in OwlMixin before 2.0.0a12. A "Load YAML" string or file (aka load_yaml or load_yamlf) can execute arbitrary Python commands resulting in command execution because load is used where safe_load should have been used. An attacker can insert Python into loaded YAML to trigger this vulnerability.