タグ
#Python
MLflowトラッキングサーバーにおける認証不要のRCE（CVE-2026-116692）
CVE-2026-116692（CVSS 9.8）により、デフォルト構成のMLflow 3.12.0から3.16.xのトラッキングサーバーに到達できる任意の呼び出し元が、Pythonコードをアップロードしてサーバープロセスとして実行できます。3.17.0で修正されています。
2026年10月28日
Authlib 1.9.0で修正されたJWS署名バイパス（CVE-2026-96760）
Authlib 1.8.0以前は、signaturesが空のJWS JSONオブジェクトを、鍵を確認せずに検証済みとして扱います。重大度クリティカルのCVE-2026-96760（CVSS 9....
2026年10月27日
Pillow Ghostscriptの引数インジェクションによるRCE（CVE-2026-112900）
Pillow 2.6.0～12.3.0は、攻撃者が制御するEPSまたはPostScriptのファイル名をサニタイズせずにGhostscriptへ渡すため、引数インジェクションとコマンド実行が可能...
2026年10月26日
Pillow FlashPixのヒープオーバーフローによるRCE（CVE-2026-112398）
olefileをインストールしたPillow 12.3.0以前で細工されたFlashPix画像をデコードすると、攻撃者がコマンドを実行できます。CVE-2026-112398はPillow 13...
2026年10月24日
#Pythonのタグが付いたその他の記事
セキュリティ研究の自動化：AIエンジンが複雑なブラインドコードインジェクションを悪用
精密さはペイロードの乱れ打ちに勝ります。OstorlabのAIエンジンを用いてTitilerへのRCEを体系的に成立させ、スタックトレースを一度も用いずにデータ持ち出しを実証します。
2025年9月4日
Python ProcessPoolExecutor：カスタムプロセスプール
Ostorlabでは毎日数百のモバイルアプリケーションをスキャンしています。各スキャンは非常に多くのリソースを消費するため、当初から、コードの速度を最適化し、クラウドリソースの利用を最大化する必要がありました。
2016年7月18日