DeepDiff — проект, посвященный глубокому сравнению и поиску различий в данных Python. Версии с 5.0.0 по 8.6.0 уязвимы к загрязнению класса …

DeepDiff — проект, посвященный глубокому сравнению и поиску различий в данных Python. Версии с 5.0.0 по 8.6.0 уязвимы к загрязнению класса через конструктор Delta, что может привести к отказу в обслуживании и удаленному выполнению кода (через небезопасную десериализацию Pickle). Уязвимость позволяет злоумышленнику выполнить произвольный код Python, если входные данные для Delta контролируются пользователем. Это исправлено в версии 8.6.1 [1]. Уязвимость позволяет атакующему изменить `deepdiff.serialization.SAFE_TO_IMPORT`, разрешив небезопасные классы, такие как `posix.system`, и затем выполнить небезопасную десериализацию Pickle через класс Delta. Источники: - [1] https://github.com/seperman/deepdiff/security/advisories/GHSA-mw26-5g2v-hqw3 - [2] https://github.com/seperman/deepdiff/commit/c69c06c13f75e849c770ade3f556cd16209fd183 - [3] https://github.com/seperman/deepdiff/releases/tag/8.6.1