CVE-2023-26145

Bu durum, pydash paketinin 6.0.0 öncesindeki sürümlerini etkilemektedir. pydash.objects.invoke() ve pydash.collections.invoke_map() gibi bir dizi pydash yöntemi, orijinal kaynak nesneye göre iç içe geçmiş bir Python nesnesini hedeflemek için noktalı yolları (Deep Path Strings) kabul eder. Bu yollar; iç içe geçmiş Python nesnelerini geri getirmek, değiştirmek veya çağırmak amacıyla dahili sınıf özniteliklerini ve dict öğelerini hedeflemek için kullanılabilir. **Not:** pydash.objects.invoke() yöntemi, aşağıdaki ön koşullar karşılandığında Komut Enjeksiyonuna (Command Injection) karşı savunmasızdır: 1) Kaynak nesne (argüman 1), list/dict gibi yerleşik bir nesne değildir (aksi takdirde __init__.__globals__ yoluna erişilemez). 2) Saldırgan, argüman 2 (yol dizesi) ve argüman 3 (çağrılan yönteme iletilecek argüman) üzerinde kontrole sahiptir. pydash.collections.invoke_map() yöntemi de savunmasızdır ancak saldırganın çağrılan fonksiyona iletilecek argüman üzerinde doğrudan kontrolü olmadığı için istismar edilmesi daha zordur.