CVE-2026-77401 in AccessControl
요약
\~에 의해 VulDB • 2026. 09. 16.
Zope AccessControl은 Zope에서 사용하기 위한 일반적인 보안 프레임워크를 제공합니다. 버전 7.4 이전에는 신뢰할 수 없는 사용자가 AccessControl이 제어하는 Python 코드를 생성하고 실행할 수 있는 애플리케이션에서 str.format 및 str.format_map 메서드가 str 서브클래스를 통해 접근될 때 안전하게 보호되지 않습니다. ImplPython.py와 cAccessControl.c 모두에서, Python 포맷팅은 정책 기반 제한 getattr 및 getitem 연산 대신 unrestricted한 getattr 및 getitem 동작을 사용하여 속성과 구독(subscriptions)에 재귀적으로 액세스할 수 있습니다. 따라서 제어된 format string을 통해 포맷팅 작업에서 사용 가능한 값으로부터 도달 가능한 객체를 노출시킬 수 있습니다. 이 문제는 버전 7.4에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.