CVE-2025-10156

Picklescan w wersjach przed 0.0.29 nie wykrywa złośliwych plików pickle, co pozwala atakującym na osadzenie niewykrytego kodu w tych plikach. Kod ten może wykonywać dowolne polecenia po załadowaniu przez ofiary.

Picklescan w wersjach przed 0.0.28 nie wykrywa złośliwych wywołań funkcji torch.jit.unsupported_tensor_ops.execWrapper osadzonych w plikach pickle. Atakujący mogą stworzyć złośliwe pliki pickle, które omijają detekcję picklescan i wykonują dowolny kod po załadowaniu przez pickle.load().

Picklescan w wersjach przed 0.0.33 nie wykrywa złośliwych plików pickle, które wywołują funkcję numpy.f2py.crackfortran.myeval za pomocą metody reduce. Atakujący mogą stworzyć złośliwe pliki pickle, które zawierają dowolny kod, omijają detekcję picklescan i wykonują zdalny kod po załadowaniu.

Picklescan w wersjach przed 0.0.29 nie wykrywa funkcji profile.Profile.runctx podczas analizy plików pickle, co pozwala atakującym na osadzenie niezauważonego złośliwego kodu. Zdalni atakujący mogą stworzyć złośliwe pliki pickle wykorzystujące profile.Profile.runctx w metodzie reduce, co prowadzi do zdalnego wykonania kodu po załadowaniu pliku pickle.

Picklescan przed wersją 1.0.3 zawiera lukę w funkcji scan_pytorch, która pozwala atakującym na obejście skanowania. Dzięki wykorzystaniu dynamicznego eval i triku __reduce__, mogą oni osadzić złośliwe numery magiczne w ładunkach PyTorch, które omijają detekcję picklescan.

Picklescan w wersjach przed 0.0.35 zawiera podatność na niebezpieczną deserializację pickle, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików serwera poprzez łańczenie io.FileIO i urllib.request.urlopen.

Picklescan przed wersją 1.0.4 nie blokuje przynajmniej siedmiu modułów standardowej biblioteki Pythona, co umożliwia zdalne wykonanie kodu. Atakujący mogą stworzyć złośliwe pliki pickle, które importują te nieblokowane moduły, omijając walidację bezpieczeństwa picklescan.

Picklescan przed wersją 1.0.1 zawiera podatność na niebezpieczną deserializację, która pozwala nieautoryzowanym użytkownikom na wykonanie dowolnego kodu poprzez ukrywanie wywołań eval w obiektach wywoływalnych za pomocą getattr. Atakujący mogą osadzić złośliwy kod w plikach pickle, który unika wykrycia, ale wykonuje się po załadowaniu pickle z nieufnych źródeł.

Picklescan w wersjach przed 1.0.4 zawiera niekompletną listę blokowania dla modułu profilu, co pozwala na wykonanie dowolnego kodu przez atakujących za pomocą funkcji exec(). Atakujący mogą stworzyć złośliwe pliki pickle, które wywołują profile.run(statement), co prowadzi do wykonania dowolnego kodu Pythona.

Picklescan w wersjach przed 1.0.4 nie blokuje pkgutil.resolve_name, co pozwala atakującym na obejście całej listy blokad poprzez pośrednie wywołania REDUCE. Atakujący mogą wywołać dowolną zablokowaną funkcję, co prowadzi do zdalnego wykonania kodu.