CVE-2019-6446

CVE-2019-6446 Exécution de commande par désérialisation de NumPy

NumPy est une bibliothèque Python puissante principalement utilisée pour effectuer des calculs sur des tableaux multidimensionnels. Des experts ont analysé que les versions inférieures ou égales à 1.16.0 présentent cette vulnérabilité, la recommandation de correction est de supprimer le paramètre allow_pickle de la fonction load dans lib/npyio.py ou de le définir sur False pour éviter le problème de désérialisation ; lors du test de la version 1.16.3 (Mac/Windows), la fonction load a supprimé le paramètre allow_pickle. Mais l'exécution de commande existe toujours. La dernière version testée était la 1.16.3

Référence:https://mp.weixin.qq.com/s/9qwTTtQdpIjH8f0CcDYs6g