p PatchFirst

CVE-2026-31225

CVE-2026-31225

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The superduper project thru v0.10.0 contains a critical remote code execution vulnerability in its query parsing component. The _parse_op_part() function in query.py uses the unsafe eval() function to dynamically evaluate user-supplied query operands without proper sanitization or restriction. Although the function attempts to limit the execution context by providing a restricted global namespace, it does not block access to dangerous built-in functions. A remote attacker can exploit this by submitting a specially crafted query string containing Python code that imports modules (e.g., os) and executes arbitrary system commands, leading to complete compromise of the server.

CVSS 8.8 · Élevée · EPSS 0,4%

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • n/a

    Versions du logiciel
    • n/a: Concernée

    Aucun correctif publié

  • superduper-framework PyPI

    Versions du logiciel
    • 0.10.0
    • 0.3.0
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.4.5
    • 0.5.0
    • 0.5.1
    • 0.5.10
    • 0.5.11
    • 0.5.13
    • 0.5.14
    • 0.5.15
    • 0.5.16
    • 0.5.17
    • 0.5.18
    • 0.5.19
    • 0.5.2
    • 0.5.20
    • 0.5.21
    • 0.5.22
    • 0.5.23
    • 0.5.24
    • 0.5.25
    • 0.5.26
    • 0.5.27
    • 0.5.28
    • 0.5.29
    • 0.5.3
    • 0.5.30
    • 0.5.31
    • 0.5.32
    • 0.5.33
    • 0.5.34
    • 0.5.35
    • 0.5.36
    • 0.5.37
    • 0.5.38
    • 0.5.39
    • 0.5.4
    • 0.5.40
    • 0.5.5
    • 0.5.8
    • 0.5.9
    • 0.6.0
    • 0.6.1
    • 0.6.3
    • 0.6.4
    • 0.6.5
    • 0.6.6
    • 0.6.7
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.3
    • 0.8.1
    • 0.8.2
    • 0.9.0
    Plages de versions concernées
    • ECOSYSTEM: ≤ 0.10.0

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →