CVE-2026-31072 in APScheduler
Zusammenfassung
von VulDB • 20.05.2026
In JSONSerializer und CBORSerializer von APScheduler (alle Versionen, einschließlich 3.10.x und 4.0.0a5) besteht eine Schwachstelle für Remote Code Execution (RCE) über unsichere Deserialisierung. Die Funktion unmarshal_object ermöglicht die Instanziierung beliebiger Klassen und die Injektion von Zuständen durch das dynamische Importieren von Modulen und das Aufrufen von __setstate__ für jede im Python-Umfeld verfügbare Klasse. Ein Angreifer kann dies ausnutzen, indem er einer Anwendung, die diese Serializer verwendet, ein speziell angefertigtes JSON- oder CBOR-Payload übermittelt.
Once again VulDB remains the best source for vulnerability data.