Judge0 — это онлайн-система выполнения кода с открытым исходным кодом. Приложение не учитывает символические ссылки, размещенные внутри каталога песочницы, которые могут быть использованы злоумышленником для записи в произвольные файлы и получения возможности выполнения кода за пределами песочницы. При выполнении отправки Judge0 записывает run_script в каталог песочницы. Проблема безопасности заключается в том, что злоумышленник может создать символическую ссылку (symlink) по пути run_script до выполнения этого кода, что приведет к тому, что f.write будет записывать в произвольный файл в неизолированной системе. Злоумышленник может использовать эту уязвимость для перезаписи сценариев в системе и получения возможности выполнения кода за пределами песочницы.