CVE-2026-42168
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
django-pyas2 do wersji 1.2.3 jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez pola cmd_receive i cmd_send w modelu Partner. Pola te są przekazywane bezpośrednio do funkcji os.system() w pyas2/utils.py bez sanityzacji, co pozwala uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń na serwerze podczas odbierania lub wysyłania wiadomości AS2.
Ocena ryzyka
Uwierzytelniony administrator może wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnej kompromitacji systemu i potencjalnego przejęcia kontroli nad aplikacją.
Rekomendacja
Należy zaktualizować django-pyas2 do wersji powyżej 1.2.3, która zawiera poprawkę usuwającą tę podatność, oraz ograniczyć uprawnienia administratorów.
Oryginalny opis (angielski, źródło NVD)
django-pyas2 through 1.2.3 is vulnerable to OS command injection via the cmd_receive and cmd_send fields on the Partner model. These fields are passed directly to os.system() in pyas2/utils.py without sanitization, allowing an authenticated admin user to execute arbitrary commands on the server when an AS2 message is received or sent.