p PatchFirst

CVE-2026-31072

CVE-2026-31072

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The JSONSerializer and CBORSerializer in APScheduler (all versions including 3.10.x and 4.0.0a5) are vulnerable to Remote Code Execution (RCE) via Insecure Deserialization. The unmarshal_object function allows for arbitrary class instantiation and state injection by dynamically importing modules and calling __setstate__ on any class available in the Python environment. An attacker can exploit this by submitting a specially crafted JSON or CBOR payload to an application using these serializers

CVSS 9.8 · Критический · EPSS 0,8%

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • n/a

    Версии
    • n/a: Затронуто

    Нет опубликованного исправления

  • apscheduler PyPI

    Версии
    • 4.0.0a1
    • 4.0.0a2
    • 4.0.0a3
    • 4.0.0a4
    • 4.0.0a5
    • 4.0.0a6
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 4.0.0a1, ≤ 4.0.0a6

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →