CVE-2026-34444
lupa: Lupa: Arbitrary Code Execution due to inconsistent attribute filtering
Einstufung nach Quelle
Trivys eigenes Label ist CRITICAL. Kritisch laut NVD. Niedriger laut GHSA (hoch), Red Hat (hoch).
Beschreibung
Lupa integrates the runtimes of Lua or LuaJIT2 into CPython. In 2.6 and earlier, attribute_filter is not consistently applied when attributes are accessed through built-in functions like getattr and setattr. This allows an attacker to bypass the intended restrictions and eventually achieve arbitrary code execution.
Betroffene Pakete und behobene Versionen
| Quelle | Paket | Behoben in |
|---|---|---|
| chainguard | prefect, prefect-fips | 3.7.3-r0 |
| debian 11 | python-lupa | kein Fix angegeben |
| debian 12 | python-lupa | kein Fix angegeben |
| debian 13 | python-lupa | kein Fix angegeben |
| debian 14 | python-lupa | kein Fix angegeben |
| echo | python-lupa | kein Fix angegeben |
| pip::GitHub Security Advisory pip | lupa | kein Fix angegeben |
| rapidfort debian 12 | python-lupa | kein Fix angegeben |
| rapidfort debian 13 | python-lupa | kein Fix angegeben |
| Red Hat | satellite/foreman-mcp-server-rhel9 | kein Fix angegeben |
Alle 11 Einträge aus 10 Quellen zeigen
| Quelle | Paket | Behoben in |
|---|---|---|
| chainguard | prefect | 3.7.3-r0 |
| chainguard | prefect-fips | 3.7.3-r0 |
| debian 11 | python-lupa | kein Fix angegeben |
| debian 12 | python-lupa | kein Fix angegeben |
| debian 13 | python-lupa | kein Fix angegeben |
| debian 14 | python-lupa | kein Fix angegeben |
| echo | python-lupa | kein Fix angegeben |
| pip::GitHub Security Advisory pip | lupa | kein Fix angegeben |
| rapidfort debian 12 | python-lupa | kein Fix angegeben |
| rapidfort debian 13 | python-lupa | kein Fix angegeben |
| Red Hat | satellite/foreman-mcp-server-rhel9 | kein Fix angegeben |
Referenzen
- https://access.redhat.com/errata/RHSA-2026:22993
- https://access.redhat.com/security/cve/CVE-2026-34444
- https://bugzilla.redhat.com/show_bug.cgi?id=2455413
- https://github.com/scoder/lupa
- https://github.com/scoder/lupa/security/advisories/GHSA-69v7-xpr6-6gjm
- https://nvd.nist.gov/vuln/detail/CVE-2026-34444
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-34444.json
- https://www.cve.org/CVERecord?id=CVE-2026-34444