CVE-2025-24359

ASTEVAL, Python ifadelerini ve deyimlerini değerlendiren bir araçtır. Versiyon 1.0.6 öncesinde, bir saldırgan `asteval` kütüphanesine verilen girdiyi kontrol edebilirse, asteval'ın kısıtlamalarını atlayabilir ve kütüphaneyi kullanan uygulamanın bağlamında rastgele Python kodu çalıştırabilir. Güvenlik açığı, `asteval`'ın `FormattedValue` AST düğümlerini işleme biçiminden kaynaklanmaktadır. Özellikle, `on_formattedvalue` değeri, str sınıfının tehlikeli format metodunu kullanır. Kod, bir saldırganın `fmt.format(__fstring__=val)` şeklindeki tehlikeli çağrıda kullanılan dizginin değerini manipüle etmesine izin verir. Bu güvenlik açığı, kasıtlı olarak bir `AttributeError` istisnası tetikleyerek korumalı özniteliklere erişmek için kullanılabilir. Saldırgan daha sonra bu istisnayı yakalayabilir ve hassas veya korumalı nesne özelliklerine rastgele erişim sağlamak için onun `obj` özniteliğini kullanabilir. Versiyon 1.0.6 bu sorunu düzeltmektedir.