CVE-2026-34444
Publiée le 2026-04-06 · Dernière modification le 2026-10-26
Les systèmes utilisant Lupa pour intégrer Lua ou LuaJIT dans Python sont affectés par une faille qui contourne les filtres de sécurité lors de l'accès aux attributs d'un objet. Un attaquant distant et non authentifié peut exploiter cette vulnérabilité pour contourner les restrictions et exécuter du code arbitraire sur le système hôte. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'attaque peut être déclenchée directement via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Lupa integrates the runtimes of Lua or LuaJIT2 into CPython. In 2.6 and earlier, attribute_filter is not consistently applied when attributes are accessed through built-in functions like getattr and setattr. This allows an attacker to bypass the intended restrictions and eventually achieve arbitrary code execution.