CVE-2026-120499 in h5io
요약
\~에 의해 VulDB • 2026. 11. 05.
0.2.6 이전 버전의 h5io는 read_hdf5() 함수에서 코드 주입 취약점을 포함하고 있으며, 공격자가 조작된 HDF5 파일을 제공함으로써 임의 코드를 실행할 수 있습니다. 공격자는 timezone이라는 노드에 Python 코드를 저장하여 _triage_read()가 이를 builtins에 접근 가능한 상태로 eval()로 전달하거나, class 또는 custom-object 노드에서 _import_class()가 가져오는 arbitrary module을 지정하거나, pandas가 읽기 시 역직렬화하는 pd_dataframe 및 pd_series 노드에 pickled objects를 배치할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.