취약점

중복 주의사항

이 권고는 GHSA-vvpj-8cmc-gx39와 중복되므로 철회되었습니다. 이 링크는 외부 참조를 보존하기 위해 유지됩니다.

원본 설명

1.0.4 이전의 picklescan은 pkgutil.resolve_name을 차단하지 못하므로 공격자가 간접 REDUCE 호출을 통해 위험한 기능을 해결하여 전체 차단 목록을 우회할 수 있습니다. 원격 공격자는 os.system, buildins.exec 또는 subprocess.call과 같은 차단된 기능을 호출하여 원격 코드를 실행할 수 있습니다.