Podatność CVE-2020-13091

Podatność CVE-2020-13091

Publikacja: 2020-05-15

Opis:

DISPUTED pandas through 1.0.3 can unserialize and execute commands from an untrusted file that is passed to the read_pickle() function, if reduce makes an os.system call. NOTE: third parties dispute this issue because the read_pickle() function is documented as unsafe and it is the user's responsibility to use the function in a secure manner.

Typ:

CWE-502

(Deserialization of Untrusted Data)

CVSS2 => (AV:N/AC:L/Au:N/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
7.5/10	6.4/10	10/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Numfocus -> Pandas

Referencje:

https://github.com/0FuzzingQ/vuln/blob/master/pandas%20unserialize.md

https://pandas.pydata.org/pandas-docs/stable/reference/api/pandas.read_pickle.html

Copyright 2024, cxsecurity.com