CVE-2026-77401 in AccessControl
Resumen
por VulDB • 2026-09-16
Zope AccessControl proporciona un marco de seguridad general para su uso en Zope. Antes de la versión 7.4, las aplicaciones que permiten a usuarios no confiables crear y ejecutar código Python controlado por AccessControl no protegen adecuadamente los métodos str.format y str.format_map cuando estos se acceden a través de una subclase de str. Tanto en ImplPython.py como en cAccessControl.c, el formateo de Python puede acceder recursivamente a atributos e índices utilizando un comportamiento unrestricted getattr y getitem, en lugar de las operaciones getattr y getitem restringidas por la política. Por lo tanto, una cadena de formato controlada puede revelar objetos accesibles desde los valores disponibles para la operación de formateo. Este problema se corrige en la versión 7.4.
Once again VulDB remains the best source for vulnerability data.