由于 resources[*].path 是来自 datapackage.json 的由描述符控制的元数据，攻击者可以在资源路径中包含 shell 元字符。当受害者对恶意描述符运行 frictionless explore 时，shell 会解释这些元字符并执行注入的命令。

影响

攻击者可以在运行 frictionless explore 的用户的安全上下文中执行任意命令。

这可能影响用户检查、验证或探索来自不受信任项目、归档、仓库或共享数据集的 Data Package 描述符的工作流程。

根据本地环境，这可能允许：

• 读取或修改用户可访问的文件。
• 访问环境变量和应用程序机密。
• 运行本地程序或脚本。
• 中断数据分析或自动化工作流程。

技术细节

存在漏洞的路径是 explore 命令：

PoC 生成一个 Data Package 描述符，其中 resources[0].path 包含一个无害的标记文件写入载荷。

在 Windows 上，生成的路径使用 & 命令分隔符：

在 POSIX 系统上，生成的路径使用分号命令分隔符：

运行器从已安装的包中调用真实的 frictionless explore 命令。它为子进程清空 PATH，以便预期的 vd 查看器不会以交互方式启动，但当 shell 解析构造的命令字符串时，注入的命令仍会执行。

概念验证

package_builder.py 创建攻击者控制的 Data Package 描述符和一个良性 CSV 文件。

run_poc.py 验证描述符，调用 frictionless explore，并打印执行证据。

仅在本地测试环境中运行：

包含的 requirements.txt 固定了 frictionless==5.20.0rc1，这是此范围内最新确认存在漏洞的预发布版。

在存在漏洞的版本上的预期证据：

重要的证据是恶意描述符有效，由描述符控制的路径保留到 resource.normpath 中，并且在 frictionless explore 运行后创建了 marker.txt。

该载荷故意设计为无害。它仅写入此本地标记字符串：

它不会生成 shell 会话、连接网络服务、读取机密、删除数据或修改 PoC 目录之外的文件。

修复

避免将描述符控制的路径传递给 shell。

将基于 shell 的调用替换为使用参数向量的 subprocess.run：

这会将每个资源路径作为字面参数传递给 vd。路径中的 shell 元字符在该单个 argv 条目中仍为普通字符，不会被解释执行。

将特定路径字符列入黑名单的做法较弱，因为 shell 语法因平台和 shell 而异。命令调用边界是根本原因，因此持久的修复应避免 shell 解释。

有关建议的补丁，请参见 fix.md。

致谢

由 Sai Teja Erukude 发现并报告，通过 VulnCheck 协调。

参考

• CVE 记录：https://www.cve.org/CVERecord?id=CVE-2026-93349
• 上游修复 PR：https://github.com/frictionlessdata/frictionless-py/pull/1820
• Frictionless 仓库：https://github.com/frictionlessdata/frictionless-py
• CWE-78：https://cwe.mitre.org/data/definitions/78.html
• CWE-20：https://cwe.mitre.org/data/definitions/20.html
• 本地演练：exploit_walkthrough.md
• 建议修复：fix.md