PT-2026-41450 · Pypi · Jsonpickle

CVE-2021-47952 · Publicado 2026-05-16 · Atualizado 2026-06-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas jsonpickle versão 2.0.0

Descrição Existe um problema onde invasores podem executar comandos Python arbitrários ao desserializar payloads JSON maliciosos contendo objetos py/repr. Isso ocorre porque strings JSON manipuladas com diretivas py/repr podem invocar a função eval() durante o processo de desserialização, levando potencialmente ao comprometimento total do sistema.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Code Injection

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-94

CWE-502

Identificadores relacionados

CVE-2021-47952

Produtos afetados

Jsonpickle

Referências · 15

• 🔥 https://exploit-db.com/exploits/49585 · Exploit
• https://github.com/jsonpickle/jsonpickle · Nota
• https://jsonpickle.github.io · Nota
• https://ubuntu.com/security/CVE-2021-47952 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2478170 · Nota
• https://twitter.com/UpwindMDR/status/2055853238247620695 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2021-47952 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2021-47952 · Nota de Segurança
• https://vulncheck.com/advisories/python-jsonpickle-remote-code-execution-via-py-repr · Nota
• https://twitter.com/CVEnew/status/2055866582044205125 · Publicação no Twitter
• https://t.me/cveNotify/177907 · Publicação no Telegram
• https://access.redhat.com/security/cve/CVE-2021-47952 · Nota
• https://security.access.redhat.com/data/csaf/v2/vex/2021/cve-2021-47952.json · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-47952 · Aviso do Fabricante
• https://t.me/CVEtracker/54004 · Publicação no Telegram