PT-2024-4421 · Pypi+10 · Pymysql+10
Publicado
2024-05-21
·
Atualizado
2026-06-03
·
CVE-2024-36039
CVSS v2.0
6.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
PyMySQL versões 1.1.0 e anteriores
Descrição
A vulnerabilidade está relacionada ao componente JSON Handler da biblioteca PyMySQL para Python, que não escapa corretamente as chaves usando o procedimento
escape dict. Isso pode permitir que um invasor remoto obtenha acesso não autorizado aos dados, adultere dados ou execute código arbitrário no servidor de banco de dados interno caso seja utilizada uma entrada JSON não confiável. A exploração dessa vulnerabilidade pode levar à injeção de SQL.Recomendações
Para as versões 1.1.0 e anteriores do PyMySQL, considere desativar o uso de entradas JSON não confiáveis até que um patch esteja disponível. Como solução temporária, restrinja o uso da função
escape dict para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Pymysql
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu