关键信息摘要 漏洞类型: 不安全反序列化 (Unsafe Deserialization) 影响的组件: 中的 CVSS 评分: 7.9 (高危) - Base Score 3.1 (根据 CVSS v3) 涉及版本: v0.0.7 漏洞源码: oportunistic function in --- 详细信息 根本原因: 使用了 反序列化函数解析从 Redis 库中获取的对象，导致任意命令执行风险。 攻击界面: - 数据读取: Redis 缓存恶意序列化对象。 - 执行: 当读取缓存中的反序列化对象时，会调用 方法执行任意系统命令。 示例命令注入: - 恶意对象执行 命令。 - 可通过 Redis 接口注入。 --- 影响力评估 长期风险: 攻击者可完全接管服务器主机。 潜在中毒情况: 攻击者可以通过缓存注入控制模型行为，如伪造缓存查询结果。 示例: 系统成功执行命令注入，生成 文件。 --- 参考资料和作者 漏洞详细: Python 官方 文档 发现/披露: Edoardo Ottavianelli