EPyT-Flow vulnerable to unsafe JSON deserialization (__type__)
Impact
EPyT-Flow’s REST API parses attacker-controlled JSON request bodies using a custom deserializer (my_load_from_json) that supports a type field. When type is present, the deserializer dynamically imports an attacker-specified module/class and instantiates it with attacker-supplied arguments. This allows invoking dangerous classes such as subprocess.Popen, which can lead to OS command execution during JSON parsing. This also affects the loading of JSON files.
Patches
EPyT-Flow has been patched in 0.16.1 -- affects all versions <= 0.16.0
Workarounds
Do not load any JSON from untrusted sources and do not expose the REST API.
Credits
EPyT-Flow thanks Jarrett Chan (@syphonetic) for detecting and reporting the bug.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | epyt-flow | < 0.16.1 | 0.16.1 |
Odnośniki
- https://github.com/WaterFutures/EPyT-Flow/security/advisories/GHSA-74vm-8frp-7w68
- https://nvd.nist.gov/vuln/detail/CVE-2026-25632
- https://github.com/WaterFutures/EPyT-Flow/commit/3fff9151494c7dbc72073830b734f0a7e550e385
- https://github.com/WaterFutures/EPyT-Flow
- https://github.com/WaterFutures/EPyT-Flow/releases/tag/v0.16.1
- https://pypi.org/project/epyt-flow
- https://github.com/advisories/GHSA-74vm-8frp-7w68
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-502- Platforma
- Python (PyPI)
- Paczka
epyt-flow- Ujawniono
- 04.02.2026
- Aktualizacja
- 11.10.2026 12:20
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-74vm-8frp-7w68 - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-330 - PyPA Advisory Database; CC BY 4.0
Historia podatności: epyt-flow
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.