CVE-2025-24359
CVE-2025-24359 · ASTEVAL Vulnerable to Maliciously Crafted Format Strings Leading to Sandbox Escape
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
ASTEVAL is an evaluator of Python expressions and statements. Prior to version 1.0.6, if an attacker can control the input to the `asteval` library, they can bypass asteval's restrictions and execute arbitrary Python code in the context of the application using the library. The vulnerability is rooted in how `asteval` performs handling of `FormattedValue` AST nodes. In particular, the `on_formattedvalue` value uses the dangerous format method of the str class. The code allows an attacker to manipulate the value of the string used in the dangerous call `fmt.format(__fstring__=val)`. This vulnerability can be exploited to access protected attributes by intentionally triggering an `AttributeError` exception. The attacker can then catch the exception and use its `obj` attribute to gain arbitrary access to sensitive or protected object properties. Version 1.0.6 fixes this issue.
CVSS 8.4 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
asteval
- Versions du logiciel
- < 1.0.6: Concernée
Aucun correctif publié
python-asteval Debian:12
- Versions du logiciel
- 0.9.28-1
- 0.9.30-1
- 0.9.31-1
- 1.0.6-1
- 1.0.6-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-asteval Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 1.0.6-2
Mettez à jour vers 1.0.6-2
python-asteval Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 1.0.6-2
Mettez à jour vers 1.0.6-2
asteval PyPI
- Versions du logiciel
- 0.9
- 0.9.1
- 0.9.10
- 0.9.11
- 0.9.12
- 0.9.13
- 0.9.14
- 0.9.15
- 0.9.16
- 0.9.17
- 0.9.18
- 0.9.19
- 0.9.2
- 0.9.20
- 0.9.21
- 0.9.22
- 0.9.23
- 0.9.24
- 0.9.25
- 0.9.26
- 0.9.27
- 0.9.28
- 0.9.29
- 0.9.3
- 0.9.30
- 0.9.31
- 0.9.32
- 0.9.33
- 0.9.4
- 0.9.5
- 0.9.6
- 0.9.7
- 0.9.8
- 0.9.9
- 1.0.0
- 1.0.1
- 1.0.2
- 1.0.3
- 1.0.4
- 1.0.5
- Plages de versions concernées
- ECOSYSTEM: < 1.0.6
Mettez à jour vers 1.0.6
python-asteval Ubuntu:20.04:LTS
- Versions du logiciel
- 0.9.12-1
- 0.9.12-2
- 0.9.17-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-asteval Ubuntu:22.04:LTS
- Versions du logiciel
- 0.9.19-2
- 0.9.25-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-asteval Ubuntu:24.04:LTS
- Versions du logiciel
- 0.9.30-1
- 0.9.31-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié