CVE-2026-32640
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Biblioteka SimpleEval przed wersją 1.0.5 umożliwia wyciek niebezpiecznych modułów i funkcji do piaskownicy wyrażeń. Atakujący może uzyskać dostęp do zabronionych obiektów poprzez atrybuty przekazanych nazw lub przekazując je jako callbacki do bezpiecznych funkcji.
Ocena ryzyka
Organizacja narażona jest na wykonanie nieautoryzowanego kodu w piaskownicy, co może prowadzić do eskalacji uprawnień, wycieku danych lub przejęcia kontroli nad aplikacją.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę SimpleEval do wersji 1.0.5 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
SimpleEval is a library for adding evaluatable expressions into python projects. Prior to 1.0.5, objects (including modules) can leak dangerous modules through to direct access inside the sandbox. If the objects you've passed in as names to SimpleEval have modules or other disallowed / dangerous objects available as attrs. Additionally, dangerous functions or modules could be accessed by passing them as callbacks to other safe functions to call. The latest version 1.0.5 has this issue fixed. This vulnerability is fixed in 1.0.5.