CVE-2026-25632
Açıklama
EPyT-Flow, su dağıtım şebekelerinin hidrolik ve su kalitesi senaryo verilerinin kolayca oluşturulması için tasarlanmış bir Python paketidir. 0.16.1 sürümünden önce, EPyT-Flow'un REST API'si, saldırgan tarafından kontrol edilen JSON istek gövdelerini, bir type alanını destekleyen özel bir deserializer (my_load_from_json) kullanarak ayrıştırır. type alanı mevcut olduğunda, deserializer saldırgan tarafından belirtilen bir modülü/sınıfı dinamik olarak içe aktarır ve onu saldırgan tarafından sağlanan argümanlarla örneklendirir. Bu durum, subprocess.Popen gibi tehlikeli sınıfların çağrılmasına olanak tanıyarak JSON ayrıştırma sırasında işletim sistemi komut yürütülmesine yol açabilir. Bu durum aynı zamanda JSON dosyalarının yüklenmesini de etkilemektedir. Bu güvenlik açığı 0.16.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- waterfutures epyt-flow0.16.1 ya da sonraki bir sürüm
- epyt-flow0.16.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| waterfutures epyt-flow | v < 0.16.1 | 0.16.1 |
| epyt-flowPyPI | v < 0.16.1 | 0.16.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.