CVE-2026-31072
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
APScheduler we wszystkich wersjach (w tym 3.10.x i 4.0.0a5) jest podatny na zdalne wykonanie kodu (RCE) poprzez niezabezpieczoną deserializację w JSONSerializer i CBORSerializer. Funkcja unmarshal_object pozwala na dowolną inicjalizację klas i wstrzykiwanie stanu przez dynamiczne importowanie modułów i wywoływanie __setstate__ na dowolnej klasie dostępnej w środowisku Python.
Ocena ryzyka
Atakujący może przesłać specjalnie spreparowany ładunek JSON lub CBOR do aplikacji używającej tych serializatorów, co może prowadzić do zdalnego wykonania kodu i pełnego przejęcia kontroli nad serwerem.
Rekomendacja
Należy natychmiast zaktualizować APScheduler do wersji, która zawiera poprawkę, lub zastosować alternatywne serializatory, które nie są podatne na niezabezpieczoną deserializację.
Oryginalny opis (angielski, źródło NVD)
The JSONSerializer and CBORSerializer in APScheduler (all versions including 3.10.x and 4.0.0a5) are vulnerable to Remote Code Execution (RCE) via Insecure Deserialization. The unmarshal_object function allows for arbitrary class instantiation and state injection by dynamically importing modules and calling __setstate__ on any class available in the Python environment. An attacker can exploit this by submitting a specially crafted JSON or CBOR payload to an application using these serializers