Më 19 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-f8c7-rwf9-fmgm (CVE-2026-111057) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën mercury të ekosistemit PyPI.
Paketat e prekura
- mercury (PyPI) — versionet e prekura:
>= 3.0.0, <= 3.2.3; versioni me rregullim:3.2.4
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-185 (Incorrect Regular Expression), CWE-284 (Improper Access Control)
- Identifikuesit: GHSA-f8c7-rwf9-fmgm, CVE-2026-111057
Përmbledhja zyrtare
Mercury: Ekzekutim kodi në distancë pa autentikim në /api/terminals përmes anashkalimit të kontrollit të aksesit
Një presje e munguar në listën BLOCKED_PATTERNS të skedarit mercury_app/block_handler.py bën që mekanizmi i bllokimit të mos mbulojë endpoint-in /api/terminals. Kjo u lejon sulmuesve pa autentikim të hapin një shell të plotë dhe ndërveprues në nivel sistemi operativ, në hostin ku ekzekutohet Mercury.
Gabimi ndodhet mes dy rregullave të para të listës. Për shkak të presjes së munguar, Python i bashkon ato në një varg të vetëm, në vend që t’i trajtojë si rregulla të veçanta bllokimi. Si pasojë, endpoint-i i terminaleve mbetet jashtë mbulimit të synuar dhe kontrolli i aksesit mund të anashkalohet.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin mercury, përditësojeni sa më shpejt në versionin 3.2.4 ose më të ri.
