CVE-2026-47103
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Podatność w Python StateMachine w wersjach od 3.0.0 do 3.2.0 umożliwia zdalne wykonanie kodu poprzez dostarczenie złośliwych dokumentów SCXML z atrybutem `<data expr="...">`, który jest niebezpiecznie ewaluowany. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście procesu hostującego.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad systemem, kradzież danych lub dalsze ataki wewnątrz sieci, ponieważ podatność pozwala na zdalne wykonanie kodu bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Python StateMachine do wersji 3.2.0 lub nowszej, która usuwa tę podatność. Należy również unikać przetwarzania niezaufanych dokumentów SCXML.
Oryginalny opis (angielski, źródło NVD)
Python StateMachine versions 3.0.0 before 3.2.0 contains a remote code execution vulnerability that allows attackers to execute arbitrary code by supplying malicious SCXML documents containing crafted `<data expr="...">` attributes evaluated unsafely. The SCXMLProcessor passes attacker-controlled expression strings through a call chain ending in Python's built-in eval() without sandboxing, enabling arbitrary code execution in the context of the hosting process.