CVE-2026-32640
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Biblioteka SimpleEval przed wersją 1.0.5 umożliwia wyciek niebezpiecznych modułów i funkcji do piaskownicy. Atakujący może uzyskać dostęp do zabronionych obiektów poprzez atrybuty przekazanych nazw lub przekazując je jako callbacki do bezpiecznych funkcji.
Ocena ryzyka
Organizacja narażona jest na wykonanie nieautoryzowanego kodu w środowisku piaskownicy, co może prowadzić do eskalacji uprawnień, wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę SimpleEval do wersji 1.0.5 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
SimpleEval is a library for adding evaluatable expressions into python projects. Prior to 1.0.5, objects (including modules) can leak dangerous modules through to direct access inside the sandbox. If the objects you've passed in as names to SimpleEval have modules or other disallowed / dangerous objects available as attrs. Additionally, dangerous functions or modules could be accessed by passing them as callbacks to other safe functions to call. The latest version 1.0.5 has this issue fixed. This vulnerability is fixed in 1.0.5.