Vulnerabilidades de Waterfutures

EPyT-Flow é um pacote Python projetado para a geração simplificada de dados de cenários hidráulicos e de qualidade da água em redes de distribuição de água. Antes da versão 0.16.1, a API REST do EPyT-Flow analisa corpos de requisição JSON controlados pelo atacante usando um desserializador personalizado (my_load_from_json) que suporta um campo type. Quando type está presente, o desserializador importa dinamicamente um módulo/classe especificado pelo atacante e o instancia com argumentos fornecidos pelo atacante. Isso permite invocar classes perigosas, como subprocess.Popen, o que pode levar à execução de comandos no sistema operacional durante a análise do JSON. Isso também afeta o carregamento de arquivos JSON. Esta vulnerabilidade foi corrigida na versão 0.16.1.