CVE-2026-75062
Publiée le 2026-08-26 · Dernière modification le 2026-08-31
Les versions de Google langfun antérieures à 0.1.2 sont affectées car elles exécutent du code Python généré par un modèle sans utiliser de bac à sable (sandbox). Un attaquant distant et non authentifié peut exploiter cette faille en envoyant un prompt spécialement conçu pour inciter le modèle à générer une expression Python malveillante, entraînant l'exécution arbitraire de code sur votre système hôte. Cette attaque est relativement simple à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in the default lf.query Python protocol in Google langfun versions prior to 0.1.2 allows remote unauthenticated attackers to execute arbitrary Python code in the context of the host application via crafted prompt inputs that cause the model to generate executable Python expressions evaluated without a sandbox.