ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي labbench في النسخ قبل 0.46.1 على ثغرة إلغاء تسلسل بيانات غير موثوقة في read() و read_relational()، حيث يتم تمرير أي ملف يمتلك امتداد .p أو .pickle إلى pandas.read_pickle بناءً على الامتداد وحده. يمكن للمهاجمين الذين يوفرون ملف بيانات معدلاً أو أرشيف بيانات علائقية تنفيذ شيفرة عشوائية عندما يقوم المستخدم بتحميله باستخدام هذه الدوال.
المعالجة
المراجع
- تصحيحhttps://github.com/usnistgov/labbench/commit/ac9b9b18cba67cb8e85eb563b6bb7dc1092b4c54
- تصحيحhttps://github.com/usnistgov/labbench/pull/32
- تحذيرhttps://www.vulncheck.com/advisories/labbench-before-0.46.1-deserialization-of-untrusted-data-via-read-pickle-auto-dispatch
- مرجعhttps://github.com/usnistgov/labbench
- مرجعhttps://github.com/usnistgov/labbench/blob/0.46.0/src/labbench/_data.py#L1664-L1666
- مرجعhttps://github.com/usnistgov/labbench/blob/0.46.1/ChangeLog.md
- مرجعhttps://pypi.org/project/labbench/0.46.1/