취약점

중복 주의사항

이 권고는 GHSA-7wx9-6375-f5wh와 중복되므로 철회되었습니다. 이 링크는 외부 참조를 보존하기 위해 유지됩니다.

원본 설명

1.0.4 이전의 picklescan에는 모듈 수준 profile.run() 함수를 차단하지 못하는 프로필 모듈에 대한 불완전한 차단 목록이 포함되어 있어 공격자가 exec()를 통해 임의 코드 실행을 달성할 수 있습니다. 공격자는 임의의 Python 코드를 실행하기 위해 profile.run(statement)를 호출하는 악성 피클 파일을 제작할 수 있으며 피클스캔은 보안 문제가 전혀 없다고 보고합니다.