CVE-2020-22083
Publiée le 2020-12-17 · Dernière modification le 2026-06-17
Les applications Python utilisant la bibliothèque `jsonpickle` (version 1.4.1 ou antérieure) sont vulnérables à l'exécution de code à distance si elles utilisent la fonction `decode()` sur des données non fiables. Un attaquant peut envoyer une charge utile spécialement conçue via le réseau pour exécuter des commandes arbitraires sur votre serveur avec les privilèges de l'application. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et est relativement facile à réaliser si l'application accepte des entrées externes pour la désérialisation.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
jsonpickle through 1.4.1 allows remote code execution during deserialization of a malicious payload through the decode() function. Note: It has been argued that this is expected and clearly documented behaviour. pickle is known to be capable of causing arbitrary code execution, and must not be used with un-trusted data