CVE-2025-67747 in fickling
Riassunto
di VulDB • 27/06/2026
Fickling è un decompilatore e analizzatore statico per il formato di serializzazione Python (pickle). Le versioni precedenti alla 0.1.6 non includono `marshal` e `types` nella lista nera dei moduli importati considerati insicuri. Fickling ha iniziato a bloccare entrambi i moduli per risolvere questo problema. Ciò consente a un attaccante di creare un file pickle malevolo che può eludere il rilevamento di Fickling, poiché mancano controlli specifici per `types.FunctionType` e `marshal.loads`. Un utente che deserializza tale file, credendolo sicuro, eseguirebbe involontariamente codice arbitrario sul proprio sistema. Questo impatto riguarda qualsiasi utente o sistema che utilizza Fickling per verificare la sicurezza dei file pickle. Il problema è stato risolto nella versione 0.1.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.