Sandbox escape via various forms of "format".
Impact
Python's "format" functionality allows someone controlling the format string to "read" all objects accessible through recursive attribute lookup and subscription from objects he can access. This can lead to critical information disclosure.
With RestrictedPython, the format functionality is available via the format and format_map methods of str (and unicode) (accessed either via the class or its instances) and via string.Formatter.
All known versions of RestrictedPython are vulnerable.
Patches
The issue will be fixed in 5.4 and 6.2.
Workarounds
There are no workarounds to fix the issue without upgrading.
References
- https://docs.python.org/3/library/stdtypes.html#str.format_map
- http://lucumr.pocoo.org/2016/12/29/careful-with-str-format/
- https://www.exploit-db.com/exploits/51580
For more information
If you have any questions or comments about this advisory:
- Open an issue in the RestrictedPython issue tracker
- Email us at security@plone.org
Credits
Thanks for analysing and reporting the go to:
- Abhishek Govindarasu
- Ankush Menat
- Ward Theunisse
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | restrictedpython | < 5.4, >= 6.0, < 6.2 | 5.4, 6.2 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:L- Debilidad (CWE)
CWE-74- Plataforma
- Python (PyPI)
- Paquete
restrictedpython- Publicada
- 30.08.2023
- Actualizado
- 11.10.2026 11:19
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2023-159 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-xjw2-6jm9-rf67 - CC BY 4.0
Historial de vulnerabilidades: restrictedpython
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 6
- Primera → última
- 07.2023 09.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 6
Divulgaciones por año
- 2023: 2
- 2024: 1
- 2025: 1
- 2026: 2
-
Sandbox escape via various forms of "format". esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.