یک آسیب‌پذیری امنیتی از نوع OS Command Injection در فریم‌ورک frictionless-py (تا نسخه 5.20.0rc1) شناسایی شده است که امکان اجرای دستورات دلخواه سیستم‌عامل را فراهم می‌کند. این نقص امنیتی که با شناسه CVE-2026-93349 ثبت شده، دارای امتیاز شدت 8.6 (High) است.
جزئیات فنی آسیب‌پذیری
این مشکل در دستور کنسولی explore رخ می‌دهد. زمانی که یک کاربر یک Data Package دستکاری شده توسط مهاجم را بررسی می‌کند، مقادیر موجود در مسیر منابع (Resource Path) در فایل datapackage.json بدون پالایش (Unsanitized) به تابع os.system ارسال می‌شوند. مهاجم می‌تواند با قرار دادن نویسه‌های خاص شل (Shell Metacharacters) در این فایل، باعث اجرای دستورات سیستمی در محیط امنیتی کاربر قربانی شود.
سناریوی حمله
- بردار حمله: شبکه (Network)
- سطح دسترسی: عدم نیاز به امتیازات خاص (No Privileges)
- تعامل کاربر: نیاز به اجرای دستور
exploreروی بسته داده مخرب توسط کاربر (User Interaction Required) - تاثیر: اجرای کامل دستورات در کانتکست کاربر (Full C/I/A Impact)
توصیه‌های امنیتی و واکنش سریع
به مدیران SOC و مهندسین امنیت توصیه می‌شود اقدامات زیر را در سریع‌ترین زمان ممکن اجرا کنند:
- شناسایی: تمامی سیستم‌ها، ایمیج‌های کانتینر و خطوط CI/CD که از نسخه 5.20.0rc1 یا قدیمی‌تر
frictionless-pyاستفاده می‌کنند شناسایی شوند. - کنترل دسترسی: از اجرای دستور
frictionless exploreروی بسته‌های داده‌ای که از منابع خارجی و غیرمعتبر دریافت شده‌اند، خودداری کنید. - مانیتورینگ: افزودن قوانین شناسایی (Detection Rules) برای رصد فرآیندهای شل (Shell Process Spawning) که توسط پایتون و از طریق دستور
vdاجرا می‌شوند. - مسدودسازی: دریافت فایل‌های
datapackage.jsonاز منابع ثالث در سطح Gateway شبکه محدود یا مسدود شود.
