CVE-2026-76825 in RestrictedPython
Сводка
по VulDB • 16.09.2026
RestrictedPython — это инструмент, который помогает определить подмножество языка Python для приема входных данных программы в доверенной среде. До версии 8.4 RestrictedPython мог позволять выход из песочницы (sandbox escape), если пользовательская политика импорта или глобальные переменные открывали доступ к стандартному модулю строк, классу string.Formatter, экземпляру Formatter или подклассу Formatter для ограниченного кода. Методы format, get_field, get_value и vformat класса string.Formatter выполняли внутреннюю обход атрибутов и элементов (attribute and item traversal) без прохождения через механизмы защиты safer_getattr RestrictedPython. Ограниченный код мог использовать эти ссылки на живые объекты для доступа к глобальным переменным функций, встроенным функциям (builtins), файловой системе или примитивам выполнения кода, что влияло на конфиденциальность, целостность и доступность в хост-среде. Эта проблема исправлена в версии 8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.