CVE-2026-93349 in frictionless-py
الملخص
بحسب VulDB • 23/09/2026
تحتوي Frictionless حتى الإصدار 5.20.0rc1 على ثغرة حقن أوامر نظام التشغيل (OS Command Injection) في أمر وحدة استكشاف البيانات (explore console)، مما يسمح لمهاجم يقدّم واصف حزمة بيانات مُعدّ بعناية بتنفيذ أوامر نظام تشغيل تعسفية بصفت المستخدم الذي يقوم بالاستكشاف. يمكن للمهاجمين وضع رموز خاصة بالصدفة (shell metacharacters) في قيم مسارات الموارد داخل واصح datapackage.json، والتي تُمرَّر دون تنقية (unsanitized) إلى دالة os.system عبر قشرة النظام (shell)، مما يتسبب في تنفيذ أوامر تعسفية ضمن سياق أمان الضحية عند تشغيل أمر الاستكشاف ضد الحزمة غير الموثوقة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.