CVE-2026-67195
WysokieCVSS 8.8Streszczenie
Perspective 5.0.0 zawiera podatność na zdalne wykonanie kodu, umożliwiającą nieuwierzytelnionym atakującym wykonanie dowolnych poleceń systemu operacyjnego przez przesłanie spreparowanych wyrażeń do backendu PolarsVirtualServer, który przekazuje dane wejściowe bezpośrednio do eval() Pythona.
Ocena ryzyka
Atakujący może w pełni przejąć kontrolę nad procesem hosta Perspective, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaktualizuj Perspective do wersji z poprawką i ogranicz dostęp do backendu PolarsVirtualServer.
Inne podatności w Perspective
Zobacz wszystkie- CVE-2026-67199Średnie
Perspective 5.0.0 zawiera podatność na odmowę usługi, która pozwala zdalnym atakującym na zablokowanie pętli zdarzeń serwera na czas nieokreślony poprzez wysłanie spreparowanego wyrażenia zawierającego nieograniczone pętle for lub while w komunikacie TableMakeViewReq. Atakujący może osadzić dowolnie dużą liczbę iteracji w kolumnie wyrażenia ocenianej dla każdego wiersza tabeli, powodując zablokowanie Tornado IOLoop bez limitu iteracji, terminu ani kontroli anulowania, co czyni serwer nieodpowiadającym dla wszystkich podłączonych klientów.
- CVE-2026-67198Wysokie
Perspective 5.0.0 zawiera podatność na odmowę usługi w dyspozytorze protokołu VirtualServer, umożliwiającą nieuwierzytelnionym atakującym wywołanie awarii procesu serwera przez wysyłanie nieprawidłowych lub niekompletnych wiadomości protobuf.
- CVE-2026-67200Wysokie
Perspective 5.0.0 zawiera podatność na przechodzenie po ścieżkach, umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików z systemu plików serwera przez dosłowne segmenty ../ w ścieżkach URL.
- CVE-2026-67196Średnie
Perspective 5.0.0 zawiera podatność na cross-site scripting we wbudowanej wtyczce Debug, która pozwala atakującym wstrzykiwać dowolny HTML i JavaScript poprzez zapisanie wartości komórek tabeli zawierających nieescapowany HTML, które są interpolowane bezpośrednio do innerHTML podczas renderowania serializacji CSV. Atakujący mogą tworzyć wiersze tabeli z ładunkami, takimi jak niecytowane wstrzyknięcia atrybutów z atrybutami obsługi zdarzeń, które omijają cytowanie RFC 4180, ponieważ nawiasy kątowe i atrybuty obsługi zdarzeń nigdy nie są escapowane przed przypisaniem, co powoduje wykonanie złośliwych skryptów w kontekście strony osadzającej.
Oryginalny opis (angielski, źródło NVD)
Perspective 5.0.0 contains a remote code execution vulnerability that allows unauthenticated attackers to execute arbitrary operating system commands by submitting crafted expression strings to the PolarsVirtualServer backend, which passes client-supplied input directly to Python's eval() with only __builtins__={} cleared. Attackers can exploit Python object attribute traversal through the interpreter's loaded class list to reach subprocess.Popen via a TableValidateExprReq or TableMakeViewReq protobuf message, achieving arbitrary command execution in the Perspective host process.