Python StateMachine: Remote Code Execution über manipulierte SCXML-Dokumente

Beschreibung

Python StateMachine in den Versionen ab 3.0.0 und vor 3.2.0 enthält eine Schwachstelle, die Remote Code Execution ermöglicht. Angreifer können laut NVD beliebigen Code ausführen, indem sie manipulierte SCXML-Dokumente einschleusen. Die Lücke ist gemäss CVSS-Vektor ohne Authentifizierung und ohne Benutzerinteraktion über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Python

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Sweet32 – DES/Triple-DES Birthday-Angriff (CVE-2016-2183) CVE-2016-2183
• zlib – Speicherbeschädigung beim Komprimieren (deflate) vor Version 1.2.12 CVE-2018-25032
• CVE-2009-3720 – Denial of Service in libexpat (Expat) CVE-2009-3720
• ABB Arctic ARM600 – Sicherheitslücke (CVE-2023-24329) CVE-2023-24329
• Visual Studio Code Python Extension Remote Code Execution CVE-2020-1171