CVE-2026-9147
uproot 5.7.4 والإصدارات السابقة: حقن كود عبر بيانات TStreamerInfo الوصفية
- تم النشر
- 18/07/2026
- محدث
- 28/08/2026
- تخصيص CNA
- VulnCheck
- الأدلة المرصودة
- 16/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 12.0%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
uproot يقوم ديناميكيًا بتوليد كود مصدر لفئات Python من سجلات ROOT TStreamerInfo في ملف ويقوم بتجميعه في وقت التشغيل. بعض حقول بيانات تدفق البيانات التي يتحكم فيها الملف (على سبيل المثال، أسماء عناصر التدفق) يتم إدراجها في كود Python المُولَّد دون اقتباس آمن عبر repr() أو محدد التنسيق !r. يمكن للمهاجم الذي يمكنه توفير ملف ROOT مُصمَّم بعناية وضع محتوى يكسر تعبيرات Python في حقل بيانات تدفق البيانات. عندما يقوم uproot بتوليد واستدعاء طريقة القراءة المقابلة، يتم تقييم تعبير Python المُحقن في سياق العملية التي تفتح الملف، مما يؤدي إلى تنفيذ كود Python عشوائي في التطبيقات التي تفتح أو تعالج ملفات ROOT التي يتحكم فيها المهاجم عبر مسارات كود uproot المتأثرة.
المصادر
uproot <= 5.7.4 حقن كود عبر توليد مصدر Python غير آمن من بيانات TStreamerInfo الوصفية الخاصة بـ ROOT.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.