CVE-2026-93349 in frictionless-py
Сводка
по VulDB • 23.09.2026
Frictionless до версии 5.20.0rc1 содержит уязвимость внедрения команд операционной системы (OS Command Injection) в команде консоли `explore`, которая позволяет злоумышленнику, предоставившему специально созданный дескриптор Data Package, выполнять произвольные команды ОС от имени пользователя, который выполняет эту операцию. Злоумышленники могут размещать метасимволы оболочки (shell metacharacters) в значениях путей ресурсов внутри дескриптора `datapackage.json`, которые передаются без санитизации функции `os.system` через оболочку, что приводит к выполнению произвольных команд в контексте безопасности жертвы при запуске команды `explore` против ненадежного пакета.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.