Średnia

Information disclosure in AccessControl

Ujawniono: 07.09.2023
Aktualizacja: 11.10.2026 14:18

Impact

Python's "format" functionality allows someone controlling the format string to "read" objects accessible (recursively) via attribute access and subscription from accessible objects. Those attribute accesses and subscriptions use Python's full blown getattr and getitem, not the policy restricted AccessControl variants _getattr_ and _getitem_. This can lead to critical information disclosure.

AccessControl already provides a safe variant for str.format and denies access to string.Formatter. However, str.format_map is still unsafe.

Affected are all users who allow untrusted users to create AccessControl controlled Python code and execute it.

Patches

A fix will be introduced in the versions 4.4, 5.8 and 6.2.

Workarounds

There are no workarounds.

References

https://github.com/zopefoundation/RestrictedPython/security/advisories/GHSA-xjw2-6jm9-rf67 describes the corresponding problem for RestrictedPython.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	accesscontrol	< 4.4, >= 5.0, < 5.8, >= 6.0, < 6.2	4.4, 5.8, 6.2
Python (PyPI)	zope	< 4.8.9, >= 5.0.0, < 5.8.4	4.8.9, 5.8.4

Odnośniki

Ocena CVSS 6.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Słabość (CWE): CWE-200
Platforma: Python (PyPI)
Paczka: accesscontrol, zope
Ujawniono: 07.09.2023
Aktualizacja: 11.10.2026 14:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2075 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8xv7-89vj-q48c - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2325 - PyPA Advisory Database; CC BY 4.0

Historia podatności: accesscontrol

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 07.2021 09.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 1
Średnia 3

Ujawnienia w latach

2021: 2
2022: 0
2023: 1
2024: 1
2025: 0
2026: 1

17.09.2026

Zope AccessControl vulnerable to information disclosure through Python string `format` and `format_map` functions

Średnia · 6.8 CVE-2026-77401 < 7.4 7.4
04.11.2024

Access control vulnerable to user data deletion by anonynmous users

Krytyczna · 9.1 CVE-2024-51734 < 7.2 7.2
07.09.2023

Information disclosure in AccessControl ten wpis

Średnia · 6.8 CVE-2023-41050 < 4.4, >= 5.0, < 5.8, >= 6.0, < 6.2 4.4, 5.8, 6.2
02.08.2021

Zope is an open-source web application server. Zope versions prior to versions 4.6.3 and 5.3 have a remote code execution security issue. In order to be affected, one must use Python 3 for one's Zope

Wysoka · 7.5 CVE-2021-32811 >= 4.0, < 4.3, >= 5.0, < 5.2 4.3, 5.2
30.07.2021

The module `AccessControl` defines security policies for Python code used in restricted code within Zope applications. Restricted code is any code that resides in Zope's object database, such as the c

Średnia · 4.4 CVE-2021-32807 >= 4.0, < 4.3, >= 5.0, < 5.2 4.3, 5.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację