VDB
EN
LOW 3.9

GHSA-g7vv-2v7x-gj9p

tqdm CLI arguments injection attack

상세

### Impact Any optional non-boolean CLI arguments (e.g. `--delim`, `--buf-size`, `--manpath`) are passed through python's `eval`, allowing arbitrary code execution. Example:

```sh python -m tqdm --manpath="\" + str(exec(\"import os\nos.system('echo hi && killall python3')\")) + \"" ```

### Patches https://github.com/tqdm/tqdm/commit/4e613f84ed2ae029559f539464df83fa91feb316 released in `tqdm>=4.66.3`

### Workarounds None

### References - https://github.com/tqdm/tqdm/releases/tag/v4.66.3

이 버전이 영향받나요?

사용 중인 패키지 버전을 입력하면 즉시 평가합니다.

영향 패키지

PyPI / tqdm
최초 영향 버전: 4.4.0 수정 버전: 4.66.3
수정 pip install --upgrade 'tqdm>=4.66.3'

참고