CVE-2026-77401 in AccessControl
要約
〜によって VulDB • 2026年09月16日
Zope AccessControlは、Zopeで使用される一般的なセキュリティフレームワークを提供します。バージョン7.4より前では、信頼できないユーザーがAccessControlで制御されたPythonコードの作成と実行を許可するアプリケーションにおいて、strサブクラスを通じてこれらのメソッドにアクセスする場合、str.formatおよびstr.format_mapが安全に保護されていません。ImplPython.pyおよびcAccessControl.cの両方で、Pythonによるフォーマット処理は、ポリシー制限付きのgetattrやgetitem操作ではなく、無制限なgetattrおよびgetitem動作を使用して属性と添字参照を再帰的にアクセスできます。したがって、制御されたフォーマット文字列により、フォーマット操作で利用可能な値から到達可能なオブジェクトが漏洩する可能性があります。この問題はバージョン7.4で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.