یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-79310 در نسخه 0.76 فریم‌ورک web.py شناسایی شده است. این نقص امنیتی از نوع Server-Side Template Injection (SSTI) است و به مهاجم اجازه می‌دهد تا محدودیت‌های امنیتی موتور قالب‌ساز (Template Engine) را دور بزند.
جزئیات فنی آسیب‌پذیری
در این سناریو، اگر یک اپلیکیشن قالب‌ها را از دایرکتوری‌ای پیش‌کامپایل (Precompile) کند که مهاجم به آن دسترسی نوشتن (Write Access) داشته باشد و سپس این قالب‌ها از طریق Precompiled Template Loader رندر شوند، مکانیزم‌های Sandbox سیستم دور زده می‌شوند.
پیامدهای امنیتی
- اجرای کد دلخواه: مهاجم می‌تواند کدهای پایتون (Python) را روی سرور اجرا کند.
- کنترل سیستم‌عامل: این آسیب‌پذیری در نهایت منجر به OS Command Execution شده و کنترل کامل سرور را در اختیار عامل تهدید قرار می‌دهد.
