p PatchFirst

CVE-2026-31225

CVE-2026-31225

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The superduper project thru v0.10.0 contains a critical remote code execution vulnerability in its query parsing component. The _parse_op_part() function in query.py uses the unsafe eval() function to dynamically evaluate user-supplied query operands without proper sanitization or restriction. Although the function attempts to limit the execution context by providing a restricted global namespace, it does not block access to dangerous built-in functions. A remote attacker can exploit this by submitting a specially crafted query string containing Python code that imports modules (e.g., os) and executes arbitrary system commands, leading to complete compromise of the server.

CVSS 8.8 · Hoch · EPSS 0,4%

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • n/a

    Softwareversionen
    • n/a: Betroffen

    Keine Korrektur veröffentlicht

  • superduper-framework PyPI

    Softwareversionen
    • 0.10.0
    • 0.3.0
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.4.5
    • 0.5.0
    • 0.5.1
    • 0.5.10
    • 0.5.11
    • 0.5.13
    • 0.5.14
    • 0.5.15
    • 0.5.16
    • 0.5.17
    • 0.5.18
    • 0.5.19
    • 0.5.2
    • 0.5.20
    • 0.5.21
    • 0.5.22
    • 0.5.23
    • 0.5.24
    • 0.5.25
    • 0.5.26
    • 0.5.27
    • 0.5.28
    • 0.5.29
    • 0.5.3
    • 0.5.30
    • 0.5.31
    • 0.5.32
    • 0.5.33
    • 0.5.34
    • 0.5.35
    • 0.5.36
    • 0.5.37
    • 0.5.38
    • 0.5.39
    • 0.5.4
    • 0.5.40
    • 0.5.5
    • 0.5.8
    • 0.5.9
    • 0.6.0
    • 0.6.1
    • 0.6.3
    • 0.6.4
    • 0.6.5
    • 0.6.6
    • 0.6.7
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.3
    • 0.8.1
    • 0.8.2
    • 0.9.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≤ 0.10.0

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →