CVE-2019-17626
Kritik
Açıklama
ReportLab 3.5.26 ve öncesi sürümler, colors.py dosyasındaki toColor(eval(arg)) kullanımı nedeniyle uzaktan kod çalıştırmaya izin verir; bu durum, '<span color="' ifadesini takip eden rastgele Python kodu içeren özel olarak hazırlanmış bir XML belgesi ile kanıtlanmıştır.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünReportlab
Yayın16 Eki 2019
İlk görülme16 Eki 2019
Zayıflık türüCWE-91CWE-91
Nasıl düzeltilir
Güncelleyin
- reportlab3.5.28 ya da sonraki bir sürüm
Üretici duyuruları
- access.redhat.com/errata/RHSA-2020:0197
- access.redhat.com/errata/RHSA-2020:0195
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZZPHP2BJSTP4IYCSJRQINP763IHO6ASL/
- access.redhat.com/errata/RHSA-2020:0230
- access.redhat.com/errata/RHSA-2020:0201
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NSCTOE3DITFICY2XKBYZ5WAF5TSQ52DM/
- usn.ubuntu.com/4273-1/
- debian.org/security/2020/dsa-4663
- security.gentoo.org/glsa/202007-35
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| reportlab reportlab | v ≤ 3.5.26 | — |
| reportlabPyPI | v < 3.5.28 | 3.5.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.