Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-502

CVE-2026-102739

ESPectre'de .npz veri setlerinde güvensiz serileştirme nedeniyle kod çalıştırma açığı

francescopace espectre

Yüksek 7,8 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, yazılım geliştirme ortamında çalışan bakımcıların ve geliştiricilerin bilgisayarlarının ele geçirilmesine yol açabilir. Açığın riski yüksek olup kapatılması için sürüm yükseltmesi önerilir.

ÖzetTürkçe

ESPectre, ESP32 için geliştirilmiş bir Wi-Fi tabanlı hareket algılama platformudur. 3.0.0-rc1 öncesi sürümlerde Micro-ESPectre analiz araçları, NPZ veri setlerini NumPy pickle desteği açık halde yükler. Kötü niyetli bir veri seti katkıda bulunanı veya çekme isteği yazarı, micro-espectre/data altındaki bir .npz dosyasına nesne türünde bir dizi yerleştirebilir.

Saldırgan ne yapabilir?

Saldırgan, belgelenmiş bir analiz aracı ilgili alana eriştiğinde, pickle ile kontrol edilen kodu proje bakımcısı veya geliştiricinin yetkileriyle çalıştırabilir. Saldırı, kullanıcının aracı çalıştırmasını gerektirir.

Kaynaktaki açıklama (İngilizce)

ESPectre is a Wi-Fi motion sensing platform for ESP32. Prior to 3.0.0-rc1, Micro-ESPectre analysis tools, including tools/6_optimize_filter_params.py, tools/1_analyze_raw_data.py, and tools/10_train_ml_model.py, load NPZ datasets with NumPy pickle support enabled through micro-espectre/tools/csi_utils.py and a direct loader. A malicious dataset contributor or pull-request author can place an object-typed array in a .npz file under micro-espectre/data, causing pickle-controlled code to execute as the maintainer or developer when a documented analysis tool accesses the field. This issue is fixed in version 3.0.0-rc1.

Ne yapmalı?

  1. ESPectre'yi 3.0.0-rc1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme öncesinde, micro-espectre/data dizinindeki veri setlerini ve yeni çekme isteklerini güvenilmeyen kaynak olarak değerlendirin ve analiz araçlarını bu dosyalarla çalıştırmayın. Genel öneri

Ek önlemler

  • Bilinmeyen kaynaklardan gelen .npz veya pickle içeren veri dosyalarını analiz etmeden önce içeriklerini inceleyin. Genel öneri
  • Analiz araçlarını, ayrıcalıklı hesaplar yerine sınırlı yetkili bir kullanıcıyla ve izole bir ortamda çalıştırın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
francescopace espectre < 3.0.0-rc1 3.0.0-rc1

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.