CVE-2025-61622

概要

# pyfory 0.12.0〜0.12.2、およびレガシー版 pyfury 0.1.0〜0.10.3 における Python の信頼できないデータの逆シリアル化 pyfory バージョン 0.12.0 から 0.12.2、またはレガシー版 pyfury バージョン 0.1.0 から 0.10.3 における Python の信頼できないデータの逆シリアル化により、任意のコード実行が可能になります。アプリケーションが信頼できないソースから pyfory でシリアル化されたデータを読み取る場合、この脆弱性の影響を受けます。攻撃者は、逆シリアル化中に pickle フォールバックシリアライザを選択するデータストリームを細工でき、リモートコード実行に対して脆弱な `pickle.loads` の実行につながります。ユーザーは、pickle フォールバックシリアライザを削除してこの問題を修正した pyfory バージョン 0.12.3 以降にアップグレードすることをお勧めします。

• cve_2025_61622_pocPoC

  このPoCは、安全でないpickleフォールバック逆シリアル化（CVE-2025-61622）によるApache Pyfory（バージョン0.12.0-0.12.2およびレガシーPyFury 0.1.0-0.10.3）のリモートコード実行（RCE）脆弱性を実証します。