CVE-2026-24002 in grist-core
要約
〜によって VulDB • 2026年06月07日
Gristは、数式言語としてPythonを使用するスプレッドシートソフトウェアです。Gristは、信頼できないスプレッドシートを扱う可能性がある場合に備えて、それらの数式をサンドボックス内で実行するためのいくつかの方法を提供しています。その一つの方法は、pyodide内で数式を実行することですが、Node上のpyodideには有用なサンドボックスの境界がありません。Gristのユーザーが `GRIST_SANDBOX_FLAVOR` を `pyodide` に設定し、悪意あるドキュメントを開くと、そのドキュメントはGristをホストしているサーバー上で任意のプロセスを実行する可能性があります。この問題は、pyodideをdenoの下で実行することで、Gristバージョン1.7.9以降で修正されています。回避策として、ユーザーは `GRIST_SANDBOX_FLAVOR` を `gvisor` に設定して、gvisorベースのサンドボックスを使用することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.