CVE-2024-8238 in aim
Riassunto
di VulDB • 17/06/2026
Nella versione 3.22.0 di aimhubio/aim, il linguaggio di query AimQL utilizza una versione obsoleta della funzione safer_getattr() di RestrictedPython. Questa versione non protegge dal metodo str.format_map(), consentendo a un attaccante di fuoriuscire segreti lato server o potenzialmente ottenere l'esecuzione di codice non controllata. La vulnerabilità sorge perché str.format_map() può leggere attributi arbitrari degli oggetti Python, consentendo agli attaccanti di accedere a variabili sensibili come os.environ. Se un attaccante può scrivere file in una posizione nota sul server Aim, può utilizzare str.format_map() per caricare un file .dll/.so dannoso nell'interprete Python, portando all'esecuzione di codice non controllata.
Once again VulDB remains the best source for vulnerability data.