CVE-2025-61622
Apache Fory, Apache Fory: pyfory में असुरक्षित pickle फॉलबैक सीरियलाइज़र के माध्यम से Python RCE
- प्रकाशित
- 1 अक्टू॰ 2025
- अद्यतन
- 4 नव॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 28 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 98.7%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
pyfory संस्करण 0.12.0 से 0.12.2, या विरासती pyfury संस्करण 0.1.0 से 0.10.3 में पायथन में अविश्वसनीय डेटा का डिसीरियलाइज़ेशन: मनमाना कोड निष्पादन की अनुमति देता है। कोई एप्लिकेशन तब असुरक्षित होता है जब वह अविश्वसनीय स्रोतों से pyfory सीरियलाइज़्ड डेटा पढ़ता है। एक हमलावर एक डेटा स्ट्रीम तैयार कर सकता है जो डिसीरियलाइज़ेशन के दौरान pickle-fallback सीरियलाइज़र का चयन करता है, जिससे `pickle.loads` का निष्पादन होता है, जो रिमोट कोड निष्पादन के प्रति संवेदनशील है। उपयोगकर्ताओं को सलाह दी जाती है कि वे pyfory संस्करण 0.12.3 या उसके बाद के संस्करण में अपग्रेड करें, जिसमें pickle fallback सीरियलाइज़र हटा दिया गया है और इस प्रकार यह समस्या ठीक हो गई है।
स्रोत
यह PoC Apache Pyfory (संस्करण 0.12.0-0.12.2 और लीगेसी PyFury 0.1.0-0.10.3) में असुरक्षित pickle फ़ॉलबैक डिसीरियलाइज़ेशन (CVE-2025-61622) के कारण उत्पन्न Remote Code Execution (RCE) भेद्यता को प्रदर्शित करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।