CVE-2024-23346
pymatgen: произвольное выполнение кода при разборе специально созданной transformation_string в JonesFaithfulTransformation
- Опубликовано
- 21 февр. 2024 г.
- Обновлено
- 19 авг. 2024 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 15 апр. 2025 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 89,9 %
- Дата модели
- 19 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Pymatgen (Python Materials Genomics) — это библиотека Python с открытым исходным кодом для анализа материалов. Критическая уязвимость безопасности существует в методе `JonesFaithfulTransformation.from_transformation_str()` библиотеки `pymatgen` до версии 2024.2.20. Этот метод небезопасно использует `eval()` для обработки входных данных, что позволяет выполнять произвольный код при обработке недоверенных входных данных. Версия 2024.2.20 исправляет эту проблему.
Источники
Этот репозиторий содержит файл кристаллографической информации (CIF), предназначенный для использования на машине "Chemistry" на Hack The Box (HTB).
- CVE-2024-23346-exploitЭксплойт
Это эксплойт для известной уязвимости удаленного выполнения кода (RCE) в библиотеке Python `pymatgen` (CVE-2024-23346) путем загрузки вредоносного файла `CIF` на размещенный сайт `CIF Analyzer` на целевой машине Chemistry из Hack the Box.
- CVE-2024-23346Эксплойт
Это эксплойт для CVE-2024-23346, который действует как «терминал» (протестировано на chemistry.htb)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.