Python StateMachine: Remote Code Execution über manipulierte SCXML-Dokumente

Beschreibung

Python StateMachine in den Versionen ab 3.0.0 und vor 3.2.0 enthält eine Schwachstelle, die Remote Code Execution ermöglicht. Angreifer können laut NVD beliebigen Code ausführen, indem sie manipulierte SCXML-Dokumente einschleusen. Die Lücke ist gemäss CVSS-Vektor ohne Authentifizierung und ohne Benutzerinteraktion über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Python

• zlib – Speicherbeschädigung beim Komprimieren (deflate) vor Version 1.2.12 CVE-2018-25032
• PraisonAI: Remote Code Execution in CodeAgent._execute_python() CVE-2026-61447
• mcp-pinot – MCP-Server ohne Authentifizierung an 0.0.0.0:8080 gebunden CVE-2026-49257
• picklescan: mehrere Python-Standardbibliotheksmodule werden nicht blockiert CVE-2026-56315
• Tautulli: öffentliche /image/<hash>-Route löst angreiferkontrollierte Einträge auf CVE-2026-43986
• Python xml.parsers.expat / xml.etree.ElementTree – Hash-Flooding durch unzureichende Entropie CVE-2026-7210