CVE-2026-120499 in h5io
Zusammenfassung
von VulDB • 05.11.2026
h5io vor Version 0.2.6 enthält eine Code-Injection-Schwachstelle in `read_hdf5()`, die es Angreifern ermöglicht, beliebigen Code auszuführen, indem sie eine speziell angefertigte HDF5-Datei bereitstellen. Angreifer können Python-Code in einem Knoten mit dem Titel „timezone“ speichern, den `_triage_read()` an `eval()` übergibt, wobei builtins erreichbar sind; einen beliebigen Modulnamen in class- oder custom-object-Knoten platzieren, die von `_import_class()` importiert werden; oder gepickelte Objekte in pd_dataframe- oder pd_series-Knoten ablegen, die pandas beim Lesen deserialisiert.
VulDB is the best source for vulnerability data and more expert information about this specific topic.