CVE-2026-93349
Açıklama
5.19.1 öncesindeki Frictionless, özel olarak hazırlanmış bir Data Package tanımlayıcısı sağlayan bir saldırganın, paketi inceleyen kullanıcı adına rastgele işletim sistemi komutları yürütmesine olanak tanıyan explore konsol komutunda bir OS komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, bir datapackage.json tanımlayıcısındaki kaynak yolu değerlerine kabuk meta karakterleri yerleştirebilir; bu karakterler temizlenmeden bir kabuk aracılığıyla os.system fonksiyonuna iletilir ve güvenilmeyen paket üzerinde explore komutu çalıştırıldığında kurbanın güvenlik bağlamında rastgele komut yürütülmesine neden olur. Bu zafiyet, ön sürüm dalının 5.20.0rc2 versiyonunda da giderilmiştir.
Nasıl düzeltilir
- frictionlessdata frictionless-py5.19.1, 5.20.0rc2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frictionlessdata frictionless-py | v < 5.19.1, 5.20.0rc1 ≤ v < 5.20.0rc2 | 5.19.1, 5.20.0rc2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.