CVE-2026-120859
PyMoDAQ before 5.3.10 Arbitrary Code Execution via Crafted HDF5, Dock Layout, and XML Settings Files
CVSS 3.1Medium
8.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите PyMoDAQ до версии 4.4.13 или 5.3.10; pymodaq_data, pymodaq_gui и pymodaq_utils — до 5.1.15, 5.2.14 или 5.3.10 в зависимости от используемой ветки.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Небезопасная десериализация и внедрение выражений в eval в PyMoDAQ приводят к удалённому выполнению кода.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Уязвимость эксплуатируется при открытии пользователем специально подготовленных файлов. Вредоносный код передаётся через сериализованные объекты pickle в узлах HDF5 и файлах .dock, а также через выражения Python в атрибутах HDF5 и XML-файлах настроек.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удалённое выполнение произвольного кода в контексте приложения при обработке вредоносного файла.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (11)
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/security/advisories/GHSA-jw9g-5c9x-cf84
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/commit/6c7fff74d82624c640bd79513f5b4675ea6d88da
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/commit/3bf9042a58f5d4870a2b45fe2c9423aafe6b9203
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/commit/ae0042513eb979c84da690825902658c625718d1
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/commit/041e8a22b3dbe3c986ec0ea3c6b46a22f5efe374
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/releases/tag/5.3.10
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/releases/tag/5.2.14
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/releases/tag/5.1.15
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/releases/tag/4.4.13
- github.comhttps://github.com/PyMoDAQ/PyMoDAQ/blob/5.3.9/packages/pymodaq_data/src/pymodaq_data/h5modules/backends.py#L477-L478
- www.vulncheck.comhttps://www.vulncheck.com/advisories/pymodaq-before-5.3.10-arbitrary-code-execution-via-crafted-hdf5-dock-layout-and-xml-settings-files
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-120859: PyMoDAQ before 5.3.10 Arbitrary Code Execution via Crafted HDF5, Dock Layout, and XML Settings Files. URL: https://cve.futuretools.ru/cve/CVE-2026-120859
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_120859,
title = {{CVE-2026-120859: PyMoDAQ before 5.3.10 Arbitrary Code Execution via Crafted HDF5, Dock Layout, and XML Settings Files}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120859}},
note = {Оперативный инженерный анализ киберугроз}
}