CVE-2026-24002 in grist-core
요약
\~에 의해 VulDB • 2026. 06. 07.
Grist는 수식 언어로 Python을 사용하는 스프레드시트 소프트웨어입니다. Grist는 사용자가 신뢰할 수 없는 스프레드시트를 다룰 수 있는 경우에 대비해, 이러한 수식을 샌드박스에서 실행하기 위한 여러 방법을 제공합니다. 그중 하나의 방법은 pyodide에서 수식을 실행하는 것이지만, Node 환경의 pyodide는 유용한 샌드박스 격리 장벽을 제공하지 않습니다. Grist 사용자가 `GRIST_SANDBOX_FLAVOR`를 `pyodide`로 설정하고 악성 문서를 열면, 해당 문서가 Grist가 호스팅된 서버에서 임의의 프로세스를 실행할 수 있습니다. 이 문제는 Grist 버전 1.7.9 이상에서 pyodide를 deno 환경에서 실행함으로써 해결되었습니다. 우회 조치로 사용자는 `GRIST_SANDBOX_FLAVOR`를 `gvisor`로 설정하여 gvisor 기반 샌드박스를 사용할 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.