CVE-2025-61622
严重已发布
Apache Fory，Apache Fory：pyfory 中未受保护的 pickle 回退序列化器导致 Python RCE
- 已发布
- 2025年10月1日
- 已更新
- 2025年11月4日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月28日
初级CVSS
9.8/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H43.5%
中 · 未来 30 天
- 百分位
- 98.7%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
pyfory 0.12.0 至 0.12.2 版本，以及旧版 pyfury 0.1.0 至 0.10.3 版本中的 Python 反序列化不可信数据漏洞：允许任意代码执行。如果应用程序从未受信任的来源读取 pyfory 序列化数据，则存在漏洞。攻击者可构造数据流，在反序列化过程中选择 pickle 回退序列化器，从而触发执行 `pickle.loads`，该函数易受远程代码执行攻击。建议用户升级至 pyfory 0.12.3 或更高版本，该版本已移除 pickle 回退序列化器，从而修复此问题。
来源
1该 PoC 演示了 Apache Pyfory（版本 0.12.0-0.12.2 及旧版 PyFury 0.1.0-0.10.3）中因不安全的 pickle 回退反序列化（CVE-2025-61622）导致的远程代码执行（RCE）漏洞。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。