CVE-2017-2810

Wysokie

Opublikowano: 14/06/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Tablib w wersji 0.11.4 występuje podatność w funkcjonalności ładowania Databook, która pozwala na wykonanie dowolnych poleceń Pythona. Atakujący może wstrzyknąć kod Pythona do załadowanego pliku YAML, co prowadzi do wykonania poleceń.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.

Rekomendacja

Zaleca się aktualizację Tablib do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie kontroli nad danymi YAML, które są ładowane do systemu.

Inne podatności w Tablib 0.11.4

CVE-2026-9318Średnie
W bibliotece tablib przed wersją 3.10.0 występuje podatność na trwały atak XSS w funkcji eksportu do HTML. Złośliwe ładunki umieszczone w tytułach zbiorów danych są interpolowane bez sanityzacji do wyjścia HTML, co umożliwia wykonanie dowolnego JavaScriptu.

Oryginalny opis (angielski, źródło NVD)

An exploitable vulnerability exists in the Databook loading functionality of Tablib 0.11.4. A yaml loaded Databook can execute arbitrary python commands resulting in command execution. An attacker can insert python into loaded yaml to trigger this vulnerability.