CVE-2025-41117

Exécution de code à distance dans Streamlit-Geospatial

Une faille de sécurité, identifiée sous la référence CVE-2025-41117, a été découverte dans l’application Streamlit-Geospatial. Cette vulnérabilité permet l’exécution de code à distance par un attaquant.

Points clés :

• La faille se situe dans le fichier pages/10_🌍_Earth_Engine_Datasets.py.
• Elle affecte les versions antérieures au commit c4f81d9616d40c60584e36abb15300853a66e489.

Vulnérabilité :

• CVE-2025-41117 : Exécution de code à distance (Remote Code Execution - RCE).

La cause de la vulnérabilité réside dans le traitement non sécurisé de la variable vis_params qui accepte des entrées utilisateur. Ces entrées sont ensuite passées à la fonction eval(), permettant ainsi à un utilisateur malveillant d’exécuter du code arbitraire sur le système cible.

Recommandations :

• Mettre à jour l’application Streamlit-Geospatial vers une version postérieure au commit c4f81d9616d40c60584e36abb15300853a66e489.

Source