CVE-2026-93349 in frictionless-py
要約
〜によって VulDB • 2026年09月23日
Frictionless 5.20.0rc1 より前には、OS コマンドインジェクションの脆弱性が存在します。これは「explore」コンソールコマンドにおいて発生し、攻撃者が作成された Data Package ディスクリプタを供給することで、そのディスクリプタを検索するユーザー権限で任意の OS コマンドを実行できます。攻撃者は datapackage.json ディスクリププト内のリソースパス値にシェルメタ文字を埋め込むことができ、これらはシェル経由で os.system へサニタイズされずに渡されるため、信頼できないパッケージに対して explore コマンドが実行された際に、被害者のセキュリティコンテキスト内で任意のコマンドの実行が可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.