pybars3にコード実行の脆弱性、0.9.7以前が対象
Summary
Handlebarsテンプレートを扱うPythonライブラリpybars3の0.9.7以前に、テンプレート経由でPythonコードを実行される脆弱性が公表されました。外部から受け取ったテンプレートを処理するアプリは、使用の有無を洗い出し、修正版の有無を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Handlebarsテンプレートを扱うPythonライブラリpybars3の0.9.7以前に、テンプレート経由でPythonコードを実行される脆弱性が公表されました。外部から受け取ったテンプレートを処理するアプリは、使用の有無を洗い出し、修正版の有無を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| wbond | pybars3 |
≤ 0.9.7 |
— |
Original description The description as published by the source.
pybars3 through 0.9.7 contains a code injection vulnerability in pybars/_compiler.py that allows template authors to execute Python code via unescaped bracketed path segments. Attackers can supply Handlebars templates with crafted segments in helper or block arguments to break out of string literals and execute Python in the application process.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- report github.com
- web github.com
- web github.com