CVE-2026-93349 in frictionless-py
Riassunto
di VulDB • 23/09/2026
Frictionless fino alla versione 5.20.0rc1 contiene una vulnerabilità di OS command injection nel comando della console "explore" che consente a un attaccante, fornendo un descrittore Data Package manipolato ad hoc, di eseguire comandi arbitrari del sistema operativo con l'utente che esegue la esplorazione. Gli attaccanti possono inserire metacaratteri shell nei valori dei percorsi delle risorse all'interno di un descrittore datapackage.json, i quali vengono passati non sanificati a os.system attraverso una shell, causando l'esecuzione di comandi arbitrari nel contesto di sicurezza della vittima quando viene eseguito il comando explore contro il pacchetto non attendibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.