CVE-2026-47103

总结

Python StateMachine 3.0.0 至 3.2.0 之前的版本包含一个远程代码执行漏洞，攻击者可通过提供包含恶意构造的 `<data expr="...">` 属性的 SCXML 文档来执行任意代码，这些属性会被不安全地求值。SCXMLProcessor 将攻击者控制的表达式字符串传递到以 Python 内置 eval() 结尾的调用链中，且未进行沙箱隔离，从而允许在宿主进程的上下文中执行任意代码。

• CVE-2026-47103-python-statemachine-rcePoC

  Python StateMachine 3.0.0 < 3.2.0 通过不安全的 SCXML <data expr> 求值和 Python eval() 注入实现 RCE。