关键信息 漏洞类型: CWE-94 代码注入 受影响函数: 描述: - 该代码易受CWE-94代码注入的影响。 函数旨在以看似安全的环境执行用户提供的代码，但它直接使用 函数执行字符串代码。 - 攻击者可以构造恶意代码作为输入 字符串，由于 函数在定义的命名空间内运行提供的代码，并且命名空间包含多个重要库（如 , , 等），攻击者可能访问和操纵这些库，执行未经授权的操作，如读取敏感文件、修改系统配置或执行恶意网络操作。 利用方式: - 攻击者可以通过利用现有命名空间中的库来尝试利用此漏洞。例如，如果 库可用，攻击者可以尝试通过库的文件读取功能访问底层系统。 - 提供以下恶意代码作为 参数调用 函数： - 攻击者使用 库的 函数读取 文件，成功后，文件内容转换为制表符分隔的字符串并存储在 变量中。当 函数运行提供的代码时，攻击者可以通过 返回值检索 文件的内容，从而在没有直接访问 模块的情况下获取敏感系统信息。 影响范围: - 所有版本的代码自b005635起受到影响。 - 从v0.1.0到v0.1.4的所有版本。 - 最新的主分支也存在此漏洞。 处理措施: - 已添加一些变通方法解决此问题，但不会实施完全修复，因为此代码库旨在Docker环境中运行，这将显著降低潜在的安全风险。 - 在README中添加了SECURITY部分，使用户更清楚这一点。