CVE-2026-25632: EPyT-Flow: desserialização insegura na API REST com possível execução de comandos (CWE-502)

Visão geral

O EPyT-Flow é um pacote Python para gerar dados de cenários hidráulicos e de qualidade da água em redes de distribuição. Segundo o registro, a API REST interpreta corpos de requisição JSON com um desserializador personalizado que considera um campo type, o que permitiria importar e instanciar dinamicamente classes escolhidas por um atacante. A fraqueza é classificada como CWE-502, Desserialização de Dados Não Confiáveis. A correção está vinculada à versão 0.16.1.

Impacto

O registro afirma que a falha pode levar à execução de comandos no sistema operacional durante a análise do JSON e que o carregamento de arquivos JSON também é afetado. O vetor CVSS 3.1 informado é AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, que indica exploração pela rede, sem privilégios nem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. Como o escopo é marcado como alterado, o impacto pode ir além do componente vulnerável.

Produtos afetados e versões

Produto: Waterfutures Epyt-flow (EPyT-Flow).
Afetados: versões anteriores à 0.16.1, conforme os dados de versão afetada do registro.
Corrigido: versão 0.16.1, conforme a descrição e a referência de release do registro.

Status de exploração

A entrada do catálogo KEV da CISA está marcada no registro como não listada. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. Os dados EPSS do registro indicam probabilidade de 0,01423 e percentil de 0,72206, que são uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o EPyT-Flow para a versão 0.16.1 ou posterior, identificada no registro como a versão corrigida.
Consulte o aviso do fornecedor e as notas de release para orientações operacionais adicionais.
Enquanto a atualização não for concluída, restrinja a exposição da API REST a clientes confiáveis e limite quem pode enviar entradas ou arquivos JSON à aplicação.
Trate arquivos JSON e corpos de requisição de origens não confiáveis como entrada hostil e execute o serviço com o menor privilégio prático.

Orientações de detecção

Revise logs web e da aplicação em busca de corpos JSON incomuns que contenham campos type ou referências inesperadas a módulos e classes.
Monitore o host do serviço em busca de processos filhos gerados pelo processo Python do EPyT-Flow que não estejam relacionados ao trabalho normal de cenários.
Faça um inventário da versão do EPyT-Flow instalada em cada ambiente para confirmar que nenhuma instância usa versão anterior à 0.16.1.

Limitações das informações disponíveis

O registro não descreve o formato exato das requisições, o conjunto completo de classes expostas nem detalhes de prova de conceito, e esta análise não os fornece. Não é possível saber a partir do registro se uma implantação específica é acessível a partir de redes não confiáveis. O status de exploração se limita aos dados KEV e EPSS presentes no registro.

Perguntas frequentes

O que é a CVE-2026-25632?

É uma fraqueza crítica de desserialização (CWE-502) no EPyT-Flow em versões anteriores à 0.16.1, em que o analisador JSON da API REST pode instanciar dinamicamente classes escolhidas pelo atacante. O registro afirma que isso pode levar à execução de comandos no sistema operacional durante a análise do JSON.

Qual versão corrige o problema?

O registro informa que a vulnerabilidade está corrigida no EPyT-Flow 0.16.1 e vincula um commit e uma tag de release a essa versão.

Há exploração ativa conhecida?

Não. A entrada do catálogo KEV da CISA no registro não está listada, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.