CVE-2025-61622
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 43.5%
- CWE
- CWE-502
- KEV Durumu
- Hayır
Yayım tarihi: 1 Ekim 2025
Etkilenen: apache fory
Python'da pyfory sürümleri 0.12.0 ile 0.12.2 arasında veya eski pyfury sürümleri 0.1.0 ile 0.10.3 arasında güvenilmeyen verilerin seri hale getirilmesi: keyfi kod çalıştırılmasına izin verir. Bir uygulama, güvenilmeyen kaynaklardan pyfory seri verilerini okuduğunda savunmasızdır. Saldırgan, seri hale getirme sırasında pickle-fallback seri oluşturucuyu seçen bir veri akışı oluşturabilir, bu da uzaktan kod çalıştırmasına karşı savunmasız olan `pickle.loads` çalıştırılmasına neden olur. Kullanıcıların bu sorunu düzeltmek için pickle fallback seri oluşturucuyu kaldıran pyfory sürüm 0.12.3 veya daha yenisi sürüme yükseltmeleri önerilir.
Orijinal açıklama (İngilizce)
Deserialization of untrusted data in python in pyfory versions 0.12.0 through 0.12.2, or the legacy pyfury versions from 0.1.0 through 0.10.3: allows arbitrary code execution. An application is vulnerable if it reads pyfory serialized data from untrusted sources. An attacker can craft a data stream that selects pickle-fallback serializer during deserialization, leading to the execution of `pickle.loads`, which is vulnerable to remote code execution. Users are recommended to upgrade to pyfory version 0.12.3 or later, which has removed pickle fallback serializer and thus fixes this issue.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.