Mesop — это платформа пользовательского интерфейса на основе Python, которая позволяет пользователям создавать веб-приложения. В версиях 1.2.2 и ниже явная конечная веб-точка внутри инфраструктуры модуля тестирования ai/ напрямую принимает ненадежные строки кода Python без каких-либо условий без мер аутентификации, что обеспечивает стандартное неограниченное удаленное выполнение кода. Любой человек, способный перенаправлять логику HTTP на этот серверный блок, получит явные права команд хост-машины.
Пакет базы кода AI включает облегченный сервер Flask отладки внутри ai/sandbox/wsgi_app.py. Маршрут /exec-py принимает необработанные строковые полезные данные в кодировке Base_64 внутри параметра кода, которые изначально оцениваются с помощью базового веб-запроса POST. Он быстро сохраняет его в логическом пути операционной системы и рекурсивно внедряет его с помощью Execute_module(module_path...).
Эта проблема исправлена в версии 1.2.3.
Показать оригинальное описание (EN)
Mesop is a Python-based UI framework that allows users to build web applications. In versions 1.2.2 and below, an explicit web endpoint inside the ai/ testing module infrastructure directly ingests untrusted Python code strings unconditionally without authentication measures, yielding standard Unrestricted Remote Code Execution. Any individual capable of routing HTTP logic to this server block will gain explicit host-machine command rights. The AI codebase package includes a lightweight debugging Flask server inside ai/sandbox/wsgi_app.py. The /exec-py route accepts base_64 encoded raw string payloads inside the code parameter natively evaluated by a basic POST web request. It saves it rapidly to the operating system logic path and injects it recursively using execute_module(module_path...). This issue has been fixed in version 1.2.3.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Mesop-Dev Mesop
cpe:2.3:a:mesop-dev:mesop:*:*:*:*:*:*:*:*
|
— |
1.2.3
|