CVE-2026-27194: D-Tale: execução remota de código pelo endpoint /save-column-filter

Visão geral

O D-Tale é um visualizador para estruturas de dados do pandas. Segundo o registro, versões anteriores à 3.20.0 são vulneráveis a execução remota de código pelo endpoint /save-column-filter, e o problema foi corrigido na 3.20.0. A fragilidade é classificada como CWE-74 (Injeção).

Impacto

O registro informa que usuários que hospedam o D-Tale publicamente podem ficar expostos à execução remota de código, o que permitiria a um atacante executar código malicioso no servidor. A NVD atribui pontuação 9,8 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade. A GitHub, como CNA, atribui pontuação 8,1 com outra revisão de escala CVSS. Ambas as pontuações constam no registro e refletem a avaliação de cada fornecedor.

Produtos e versões afetados

Man D-tale: versões até a 3.19.1, inclusive.
Man-group Dtale: versões anteriores à 3.20.0.
Versão corrigida segundo o registro: 3.20.0.

O registro lista duas entradas de produto com grafias diferentes. Ambas descrevem o mesmo limite de correção na 3.20.0.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como nula e automatizável como não. A probabilidade de exploração segundo o FIRST EPSS, no registro, é 0,01075, com percentil de 0,64711.

Correção e mitigação

Atualize o D-Tale para a versão 3.20.0 ou superior, utilizando a correção indicada pelos mantenedores no registro.
Leia o aviso dos mantenedores GHSA-c87c-78rc-vmv2 para as orientações sobre o problema.
Enquanto a atualização não for concluída, não exponha instâncias do D-Tale a redes não confiáveis. Restrinja o acesso a usuários de confiança e coloque as instâncias atrás de autenticação e controles de rede.
Trate como prioridade qualquer instância acessível publicamente que execute versão anterior à 3.20.0.

Orientações de detecção

Faça o inventário de todas as instalações do D-Tale, incluindo as implantadas em notebooks, contêineres ou serviços internos, e registre a versão instalada em cada uma.
Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou inesperadas ao endpoint /save-column-filter, sobretudo de origens desconhecidas.
Monitore os hosts que executam o D-Tale em busca de processos filhos inesperados, novos arquivos ou conexões de saída originadas pela conta de serviço.

Limitações das informações disponíveis

O registro não descreve as condições exatas das requisições ao endpoint nem o mecanismo interno da falha.
O vetor CVSS indica que não são exigidos privilégios e que não há interação do usuário, mas o registro não explica outras pré-condições de implantação.
O registro não referencia prova de conceito pública nem evidência de exploração. Essa ausência não prova que a exploração não tenha ocorrido.
O registro não lista intervalos de versões além dos limites indicados nas entradas de produto afetado.

Perguntas frequentes

Quais versões do D-Tale são afetadas pela CVE-2026-27194?

Segundo o registro, são afetadas as versões anteriores à 3.20.0. Uma entrada de produto lista versões até a 3.19.1, inclusive, e a outra lista versões anteriores à 3.20.0.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não lista a CVE-2026-27194 no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, instâncias com versões afetadas em redes públicas devem ser tratadas como prioridade.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.