CVE-2026-104851
Açıklama
fsspec, dosya sistemi arayüzleri için bir spesifikasyon ve Python uygulama çerçevesidir. 0.9.0 ile 2026.6.0 sürümleri arasında fsspec.implementations.reference.ReferenceFileSystem; fsspec/implementations/reference.py içerisindeki _process_references1._render_jinja, _process_templates ve _process_gen fonksiyonlarında kısıtlanmamış jinja2.Template(...).render(...) çağrıları aracılığıyla Kerchunk referans JSON belgelerindeki alanları değerlendirmektedir. Satır içi olarak sağlanan veya saldırgan tarafından kontrol edilen bir URL'den alınan bir belge, referans dosya sistemi açıldığında (xarray gibi tüketiciler aracılığıyla da dahil olmak üzere), referans verilen veriler okunmadan önce Python kodu çalıştıran şablon ifadeleri sağlayabilir. Bir belge gen dizisi içerdiğinde _process_gen yolu tetiklenirken, diğer yollar şablonla ilgili seçeneklere ve değerlere bağlıdır. Bu sorun 2026.6.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- fsspec2026.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fsspecPyPI | 0.9.0 ≤ v < 2026.6.0 | 2026.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.