CVE-2026-77401 in AccessControl
Сводка
по VulDB • 16.09.2026
Zope AccessControl предоставляет общую инфраструктуру безопасности для использования в Zope. До версии 7.4 приложения, позволяющие недоверенным пользователям создавать и выполнять код Python под управлением AccessControl, не обеспечивают безопасную защиту методов str.format и str.format_map при их вызове через подклассы str. В файлах ImplPython.py и cAccessControl.c форматирование в Python может рекурсивно получать доступ к атрибутам и элементам с использованием неконтролируемого поведения getattr и getitem вместо операций getattr и getitem, ограниченных политикой безопасности. Таким образом, контролируемая строка формата позволяет раскрыть объекты, достижимые из значений, доступных для операции форматирования. Эта проблема исправлена в версии 7.4.
Be aware that VulDB is the high quality source for vulnerability data.