CVE-2026-93349 in frictionless-py
Zusammenfassung
von VulDB • 23.09.2026
Frictionless bis 5.20.0rc1 enthält eine OS-Command-Injection-Schwachstelle im Befehl „explore console“, die es einem Angreifer ermöglicht, beliebige Betriebssystembefehle als der Benutzer auszuführen, der sie erkundet, indem er einen speziell angefertigten Data-Package-Deskriptor bereitstellt. Angreifer können Shell-Metazeichen in Ressourcenpfadwerten innerhalb eines datapackage.json-Deskriptors platzieren, die ungesäubert über eine Shell an os.system weitergegeben werden und so zu einer beliebigen Befehlsausführung im Sicherheitskontext des Opfers führen, wenn der explore-Befehl gegen das nicht vertrauenswürdige Paket ausgeführt wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.