Tóm tắt nhanh
- CVE-2025-61622 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng pyfory, pyfury, fory (apache).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 45.1%, cao hơn 98.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.12.3 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| pyfory PyPI | ≥ 0.12.0, < 0.12.3
| 0.12.3
|
| pyfury PyPI | ≥ 0.1.0, ≤ 0.10.3
| Chưa có bản vá |
| fory | ≥ 0.1.0, ≤ 0.10.3≥ 0.12.0, ≤ 0.12.2
| Chưa có bản vá |
Mô tả
Deserialization of untrusted data in python in pyfory versions 0.12.0 through 0.12.2, or the legacy pyfury versions from 0.1.0 through 0.10.3: allows arbitrary code execution. An application is vulnerable if it reads pyfory serialized data from untrusted sources. An attacker can craft a data stream that selects pickle-fallback serializer during deserialization, leading to the execution of pickle.loads, which is vulnerable to remote code execution.
Users are recommended to upgrade to pyfory version 0.12.3 or later, which has removed pickle fallback serializer and thus fixes this issue.
Mô tả của NVD
Deserialization of untrusted data in python in pyfory versions 0.12.0 through 0.12.2, or the legacy pyfury versions from 0.1.0 through 0.10.3: allows arbitrary code execution. An application is vulnerable if it reads pyfory serialized data from untrusted sources. An attacker can craft a data stream that selects pickle-fallback serializer during deserialization, leading to the execution of `pickle.loads`, which is vulnerable to remote code execution.
Users are recommended to upgrade to pyfory version 0.12.3 or later, which has removed pickle fallback serializer and thus fixes this issue.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí