fsspec rendait des champs provenant de documents JSON de références avec des modèles Jinja2 non sandboxés, ce qui pouvait permettre l’exécution de code Python sur la machine qui ouvre le document. L’avis indique que toutes les versions à partir de 0.9.0 sont concernées et que le correctif est disponible en 2026.6.0; mettre à niveau avant d’ouvrir des références non fiables.
Analyse technique
L’avis décrit plusieurs appels à jinja2.Template(…).render(…) dans ReferenceFileSystem, alimentés par les données du document de références. L’exploitation peut se produire avant la lecture des données visées.
Impact, versions et correctif
Action recommandée
Mettre à niveau fsspec vers la version 2026.6.0 ou ultérieure et ne pas ouvrir de documents de références non fiables avec les versions vulnérables.
Sources
Priorisation DFS : P3 · 1 source(s).