PT-2026-2229 · Fickling · Fickling

Mldangelo · Publicado 2026-01-09 · Atualizado 2026-01-10 · CVE-2026-22609

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Fickling anteriores à 0.1.7

Descrição O Fickling é um descompilador de pickle Python e analisador estático. Antes da versão 0.1.7, o método unsafe imports() no analisador estático do Fickling não identifica vários módulos Python de alto risco que poderiam ser usados para execução arbitrária de código. Isso permite que pickles maliciosos que importam esses módulos contornem as verificações de segurança do Fickling.

Recomendações Atualize o Fickling para a versão 0.1.7 ou posterior.

Exploit

Correção

Incomplete List of Disallowed Inputs

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-184

CWE-502

Identificadores relacionados

CVE-2026-22609

GHSA-Q5QQ-MVFM-J35X

Produtos afetados

Fickling

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22609.json · Exploit
• 🔥 https://github.com/trailofbits/fickling/security/advisories/GHSA-q5qq-mvfm-j35x · Exploit
• https://github.com/trailofbits/fickling · Nota
• https://github.com/trailofbits/fickling/commit/b793563e60a5e039c5837b09d7f4f6b92e6040d1 · Correção
• https://github.com/trailofbits/fickling/pull/195 · Nota
• https://github.com/trailofbits/fickling/blob/977b0769c13537cd96549c12bb537f05464cf09c/test/test_bypasses.py#L88 · Nota
• https://github.com/trailofbits/fickling/commit/eb299b453342f1931c787bcb3bc33f3a03a173f9 · Correção
• https://github.com/trailofbits/fickling/commit/29d5545e74b07766892c1f0461b801afccee4f91 · Correção
• https://github.com/trailofbits/fickling/commit/9a2b3f89bd0598b528d62c10a64c1986fcb09f66 · Correção
• https://github.com/trailofbits/fickling/commit/6b400e1a2525e6a4a076c97ccc0d4d9581317101 · Nota
• https://github.com/trailofbits/fickling/releases/tag/v0.1.7 · Nota
• https://twitter.com/CVEnew/status/2009837436180857264 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22609 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22609 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2009930714129604736 · Publicação no Twitter