CVE-2026-32640

Esta vulnerabilidad permite a un atacante inyectar código malicioso dentro del sandbox de SimpleEval. Al pasar objetos con atributos peligrosos (como módulos del sistema operativo) a la biblioteca, un atacante puede obtener acceso directo a estos recursos, eludiendo las restricciones de seguridad. Esto podría permitir la ejecución de comandos arbitrarios en el sistema, el acceso a datos confidenciales o incluso el control completo de la aplicación. Un escenario de ataque podría implicar la inyección de un módulo que permite la lectura de archivos del sistema, lo que llevaría a la exfiltración de información sensible. La falta de aislamiento adecuado dentro del sandbox es la raíz del problema, similar a vulnerabilidades de deserialización insegura.

Applications that utilize SimpleEval to evaluate user-provided expressions, particularly those deployed in environments where user input is not thoroughly validated, are at significant risk. This includes applications that dynamically generate code or configurations based on user input, as well as those that use SimpleEval for sandboxed scripting or evaluation of untrusted data.

• python / library:

import simpleeval
import inspect
# Check for vulnerable versions
import pkg_resources
version = pkg_resources.get_distribution('simpleeval').version
if version in ['1.0.0', '1.0.1', '1.0.2', '1.0.3', '1.0.4']:
    print("Vulnerable SimpleEval version detected!")
    # Inspect objects passed to SimpleEval for potentially dangerous attributes
    # This is a simplified example and requires more robust analysis

• generic web: Review application code that utilizes SimpleEval to identify potential injection points where malicious objects could be passed to the library.

1. 2026-03-13Disclosure

   disclosure

1. Reservado2026-03-12
2. Publicada2026-03-13
3. Modificada2026-04-21
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar SimpleEval a la versión 1.0.5 o superior. Si la actualización no es inmediatamente posible, se recomienda limitar estrictamente los objetos que se pasan a SimpleEval, evitando cualquier objeto que pueda contener módulos o funciones peligrosas. Implementar una validación exhaustiva de los datos de entrada es crucial. Si se utiliza un firewall de aplicaciones web (WAF), configurar reglas para bloquear el acceso a funciones o módulos potencialmente peligrosos dentro del contexto de SimpleEval. Monitorear los logs de la aplicación en busca de patrones de acceso inusuales a módulos del sistema podría indicar un intento de explotación.