CVE-2026-47103

सारांश

# Python StateMachine संस्करण 3.0.0 से पहले 3.2.0 में रिमोट कोड निष्पादन भेद्यता Python StateMachine संस्करण 3.0.0 से पहले 3.2.0 में एक रिमोट कोड निष्पादन भेद्यता मौजूद है जो हमलावरों को दुर्भावनापूर्ण SCXML दस्तावेज़ों की आपूर्ति करके मनमाना कोड निष्पादित करने की अनुमति देती है, जिनमें असुरक्षित रूप से मूल्यांकित किए गए क्राफ्टेड `<data expr="...">` विशेषताएँ होती हैं। SCXMLProcessor हमलावर-नियंत्रित अभिव्यक्ति स्ट्रिंग्स को एक कॉल श्रृंखला के माध्यम से पास करता है जो Python के अंतर्निहित eval() में समाप्त होती है, बिना सैंडबॉक्सिंग के, जिससे होस्टिंग प्रक्रिया के संदर्भ में मनमाना कोड निष्पादन संभव हो जाता है।

• CVE-2026-47103-python-statemachine-rcePoC

  Python StateMachine 3.0.0 < 3.2.0 में असुरक्षित SCXML <data expr> मूल्यांकन और Python eval() इंजेक्शन के माध्यम से RCE