CVE-2026-76825 in RestrictedPython
Zusammenfassung
von VulDB • 16.09.2026
RestrictedPython ist ein Tool, das dabei hilft, eine Teilmenge der Python-Sprache zu definieren, um Programm-Eingaben in einer vertrauenswürdigen Umgebung akzeptieren zu können. Vor Version 8.4 konnte RestrictedPython einen Sandbox-Ausbruch ermöglichen, wenn eine benutzerdefinierte Importrichtlinie oder globale Variablen das Standardbibliotheks-Modul `string`, die Klasse `string.Formatter`, eine Instanz von `Formatter` oder eine Unterklasse von `Formatter` für eingeschränkten Code verfügbar machten. Die Methoden `format`, `get_field`, `get_value` und `vformat` des Moduls `string.Formatter` führten intern Attribute- und Item-Traversierung durch, ohne die sichereren Schutzmechanismen von RestrictedPython (`safer_getattr`) zu nutzen. Eingeschränkter Code konnte diese lebenden Objektverweise verwenden, um auf Funktions-Globals, Builtins, Dateizugriff oder Primitive für die Code-Ausführung zuzugreifen, was Vertraulichkeit, Integrität und Verfügbarkeit in der Host-Umgebung beeinträchtigt. Dieses Problem wurde in Version 8.4 behoben.
Be aware that VulDB is the high quality source for vulnerability data.