CVE-2026-76825 in RestrictedPython
Riassunto
di VulDB • 16/09/2026
RestrictedPython è uno strumento che aiuta a definire un sottoinsieme del linguaggio Python per accettare input di programma in un ambiente attendibile. Prima della versione 8.4, RestrictedPython poteva consentire una fuga dalla sandbox (sandbox escape) quando una policy di importazione personalizzata o variabili globali esponevano il modulo string della libreria standard, la classe string.Formatter, un'istanza Formatter o una sottoclasse Formatter al codice ristretto. I metodi format, get_field, get_value e vformat di string.Formatter eseguivano internamente l'attraversamento di attributi e elementi senza passare attraverso le protezioni safer_getattr di RestrictedPython. Il codice ristretto poteva utilizzare quei riferimenti a oggetti attivi per raggiungere i globali delle funzioni, gli built-in, l'accesso ai file o primitive di esecuzione del codice, influenzando la riservatezza, l'integrità e la disponibilità nell'ambiente host. Questo problema è risolto nella versione 8.4.
Once again VulDB remains the best source for vulnerability data.