CVE-2026-32640
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Biblioteka SimpleEval przed wersją 1.0.5 zawiera podatność umożliwiającą wyciek niebezpiecznych modułów i funkcji do piaskownicy. Atakujący może uzyskać dostęp do zabronionych obiektów poprzez atrybuty przekazanych nazw lub przekazując niebezpieczne funkcje jako callbacki do dozwolonych funkcji.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia ograniczeń piaskownicy i wykonania nieautoryzowanego kodu, co może prowadzić do naruszenia integralności systemu lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę SimpleEval do wersji 1.0.5 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
SimpleEval is a library for adding evaluatable expressions into python projects. Prior to 1.0.5, objects (including modules) can leak dangerous modules through to direct access inside the sandbox. If the objects you've passed in as names to SimpleEval have modules or other disallowed / dangerous objects available as attrs. Additionally, dangerous functions or modules could be accessed by passing them as callbacks to other safe functions to call. The latest version 1.0.5 has this issue fixed. This vulnerability is fixed in 1.0.5.