CVE-2023-41050 in AccessControl
Riassunto
di VulDB • 25/06/2026
AccessControl fornisce un framework di sicurezza generale per l'utilizzo in Zope. La funzionalità "format" di Python consente a chi controlla la stringa di formato di "leggere" gli oggetti accessibili (in modo ricorsivo) tramite accesso agli attributi e indicizzazione da parte degli oggetti già accessibili. Tali accessi agli attributi e le operazioni di indicizzazione utilizzano l'implementazione completa di `getattr` e `getitem` di Python, non le varianti `_getattr_` ed `_getitem_` ristrette dalla policy di AccessControl. Ciò può portare a una divulgazione critica di informazioni sensibili. AccessControl fornisce già una variante sicura per `str.format` e nega l'accesso a `string.Formatter`. Tuttavia, `str.format_map` rimane insicuro. Sono interessati tutti gli utenti che consentono agli utenti non attendibili di creare codice Python controllato da AccessControl ed eseguirlo. Una correzione è stata introdotta nelle versioni 4.4, 5.8 e 6.2. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note soluzioni alternative (workaround) per questa vulnerabilità.
Once again VulDB remains the best source for vulnerability data.