CVE-2025-41117

Exécution de Code à Distance dans streamlit-geospatial

Une vulnérabilité d’exécution de code à distance a été découverte dans l’application streamlit-geospatial, utilisée pour des applications géospatiales dans Streamlit. La faille se situe dans le fichier pages/10_🌍_Earth_Engine_Datasets.py avant le commit c4f81d9616d40c60584e36abb15300853a66e489.

• Points Clés :
  • La vulnérabilité permet l’exécution de code à distance.
  • Elle concerne une application de Streamlit axée sur le géospatial.
• Vulnérabilité :
  • CVE : CVE-2025-41117
  • Description : La variable vis_params, qui accepte des entrées utilisateur, est traitée par la fonction eval() sans validation adéquate. Cela permet à un attaquant d’injecter et d’exécuter du code malveillant à distance.
• Recommandations :
  • Mettre à jour l’application vers la version corrigeant la vulnérabilité, notamment en appliquant le commit c4f81d9616d40c60584e36abb15300853a66e489.

Source