Anmelden
Deutsch English Español Polski
Mittel

Information disclosure in AccessControl

  • Veröffentlicht: 07.09.2023
  • Aktualisiert: 11.10.2026 14:18

Impact

Python's "format" functionality allows someone controlling the format string to "read" objects accessible (recursively) via attribute access and subscription from accessible objects. Those attribute accesses and subscriptions use Python's full blown getattr and getitem, not the policy restricted AccessControl variants _getattr_ and _getitem_. This can lead to critical information disclosure.

AccessControl already provides a safe variant for str.format and denies access to string.Formatter. However, str.format_map is still unsafe.

Affected are all users who allow untrusted users to create AccessControl controlled Python code and execute it.

Patches

A fix will be introduced in the versions 4.4, 5.8 and 6.2.

Workarounds

There are no workarounds.

References

https://github.com/zopefoundation/RestrictedPython/security/advisories/GHSA-xjw2-6jm9-rf67 describes the corresponding problem for RestrictedPython.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) accesscontrol < 4.4, >= 5.0, < 5.8, >= 6.0, < 6.2 4.4, 5.8, 6.2
Python (PyPI) zope < 4.8.9, >= 5.0.0, < 5.8.4 4.8.9, 5.8.4

Verweise

CVSS-Wert 6.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Schwäche (CWE)
CWE-200
Plattform
Python (PyPI)
Paket
accesscontrol, zope
Veröffentlicht
07.09.2023
Aktualisiert
11.10.2026 14:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2075 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8xv7-89vj-q48c - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2325 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: zope

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv
Einträge insgesamt
17
Erste → letzte
05.2021 11.2024
Ohne Fix
4
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 8
  • Mittel 6
  • Niedrig 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. Access control vulnerable to user data deletion by anonynmous users
    Kritisch · 9.1 CVE-2024-51734 < 5.11.1 5.11.1
  2. Information disclosure in AccessControl dieser Eintrag
    Mittel · 6.8 CVE-2023-41050 < 4.8.9, >= 5.0.0, < 5.8.4 4.8.9, 5.8.4
  3. ZCatalog plug-in for Zope allows anonymous users to bypass access restrictions
    Hoch CVE-2002-0688 >= 2.4.0, < 2.6.0 2.6.0
  4. Zope does not properly verify the access for objects with proxy roles
    Hoch CVE-2002-0170 >= 2.2.0, < 2.4.4, >= 2.5.0, < 2.5.1 2.4.4, 2.5.1
  5. Zope does not properly perform security registration for legacy names
    Hoch CVE-2000-1211 >= 2.2.0, <= 2.2.4 keine Korrektur
  6. Zope does not properly restrict access to the getRoles method
    Hoch CVE-2000-0725 < 2.2.1 2.2.1
  7. Zope DTML implementation Improper Authentication
    Hoch CVE-2000-0062 >= 2.2.0, <= 2.2.4 keine Korrektur
  8. Zope is an open-source web application server. Zope versions prior to versions 4.6.3 and 5.3 have a remote code execution security issue. In order to be affected, one must use Python 3 for one's Zope
    Hoch · 7.5 CVE-2021-32811 >= 4.0, < 4.6.3, >= 5.0, < 5.3 4.6.3, 5.3
  9. Zope is an open-source web application server. This advisory extends the previous advisory at https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 with additional cases of TA
    Hoch · 8.8 CVE-2021-32674 >= 4.0, < 4.6.1, >= 5.0, < 5.2.1 4.6.1, 5.2.1
  10. Zope is an open-source web application server. In Zope versions prior to 4.6 and 5.2, users can access untrusted modules indirectly through Python modules that are available for direct use. By default
    Hoch · 8.8 CVE-2021-32633 < 4.6, >= 5.0, < 5.2 4.6, 5.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.