CVE-2023-26145

Bu, pydash paketinin 6.0.0 versiyasından əvvəlki versiyalarına təsir edir. pydash.objects.invoke() və pydash.collections.invoke_map() kimi bir sıra pydash metodları, orijinal mənbə obyektinə nisbətən iç-içə Python obyektini hədəfləmək üçün nöqtəli yolları (Deep Path Strings) qəbul edir. Bu yollar daxili sinif atributlarını və dict elementlərini hədəfləmək, eləcə də iç-içə Python obyektlərini əldə etmək, dəyişdirmək və ya çağırmaq üçün istifadə edilə bilər. **Qeyd:** Aşağıdakı ön şərtlər ödənildikdə pydash.objects.invoke() metodu Komanda İnyeksiyasına (Command Injection) qarşı həssasdır: 1) Mənbə obyekti (1-ci arqument) list/dict kimi daxili obyekt olmamalıdır (əks halda __init__.__globals__ yoluna giriş mümkün olmur) 2) Hücumçu 2-ci arqument (yol sətiri) və 3-cü arqument (çağırılan metoda ötürüləcək arqument) üzərində nəzarətə malikdir pydash.collections.invoke_map() metodu da həssasdır, lakin hücumçunun çağırılan funksiyaya ötürüləcək arqument üzərində birbaşa nəzarəti olmadığı üçün onu istismar etmək daha çətindir.