Mesop Afectado por Ejecución Remota de Código No Autenticada a través de la Ruta del Conjunto de Pruebas /exec-py

La gravedad de esta vulnerabilidad radica en su facilidad de explotación y el alto impacto potencial. Un atacante puede explotar esta falla enviando código Python malicioso a través de la ruta /exec-py en el servidor Flask integrado dentro de ai/sandbox/wsgi_app.py. Al ser una ejecución remota de código sin autenticación, cualquier persona que pueda enrutar tráfico HTTP a este punto final puede obtener privilegios de administrador en el sistema. Esto podría resultar en la exfiltración de datos sensibles, la instalación de malware, la modificación de archivos del sistema o incluso el control total del servidor. La falta de autenticación amplía significativamente el radio de explosión, afectando a cualquier sistema expuesto a la red que ejecute una versión vulnerable de Mesop.

Organizations using Mesop in production environments, particularly those with publicly accessible instances or those lacking robust network security controls, are at significant risk. Development environments and testing instances are also vulnerable. Shared hosting environments where Mesop is deployed alongside other applications are particularly susceptible due to the potential for cross-site scripting or other attacks to exploit this vulnerability.

• python: Check for the presence of the /exec-py endpoint using curl:

curl -v http://<mesop_server>/exec-py

• python: Examine the ai/sandbox/wsgi_app.py file for the vulnerable route. Look for code that directly executes base64 encoded strings. • generic web: Monitor access logs for requests to /exec-py with unusual or suspicious base64 encoded payloads. • generic web: Implement rate limiting on the /exec-py endpoint to mitigate brute-force attempts.

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-20
3. Modificada2026-03-25
4. EPSS actualizado2026-03-27

La mitigación principal para CVE-2026-33057 es actualizar Mesop a la versión 1.2.3 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda aislar los servidores Mesop vulnerables en una red segmentada para limitar el acceso externo. Implementar un firewall de aplicaciones web (WAF) con reglas que bloqueen el acceso a la ruta /exec-py puede proporcionar una capa adicional de protección. Además, se debe revisar la configuración del servidor Flask para asegurar que solo se acepten conexiones de fuentes confiables. Después de la actualización, confirme la mitigación verificando que la ruta /exec-py ya no sea accesible y que el código se ejecute de forma segura.