VULNERABILIDADDetectada 07 NOV · 12:28

CVE-2026-124318 Deserialización insegura con ejecución remota de código en Treeio

Treeio hasta 2.0 contiene una deserialización insegura en UpdateRecord.get_format_strings y ModuleSetting.loads que permite a usuarios del staff ejecutar código mediante datos pickle no verificados. Un atacante puede almacenar un payload pickle en base64 en un campo format_strings de UpdateRecord a través del admin de Django, ejecutando código Python como el usuario del servidor web cuando se renderizan los news feeds.

7.2ALTA

CVSS 3.1

CVSS 4.08.6 · alta
Probabilidad de explotación · EPSS del 09/110,6 % · percentil 46
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

treeio
hasta 2.0

Qué hacer

Verificá si usás treeio y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosAltos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

CVSS 4.0 · 8.6 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosAltos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Alta
Disponibilidad (sistema vulnerable)Alta
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Treeio through 2.0 contains an insecure deserialization vulnerability in UpdateRecord.get_format_strings and ModuleSetting.loads that allows staff users to execute code via unverified pickle data. Attackers can store a crafted base64 pickle payload in an UpdateRecord format_strings field through the Django admin, executing Python code as the web server user when news feeds render.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.