Black: Willekeurige bestandsschrijfbewerkingen vanuit ongezuiverde gebruikersinvoer in de bestandsnaam van de cache

De kwetsbaarheid in Black maakt het mogelijk voor een aanvaller om, door controle te krijgen over de waarde van de --python-cell-magics optie, willekeurige bestanden op het systeem te schrijven. Dit kan leiden tot het overschrijven van kritieke systeembestanden, het uitvoeren van schadelijke code of het verkrijgen van ongeautoriseerde toegang tot gevoelige gegevens. De impact is aanzienlijk, aangezien een succesvolle exploitatie kan resulteren in een compromis van de gehele omgeving waarin Black wordt gebruikt. Het is vergelijkbaar met scenario's waarin een formatter of build tool wordt misbruikt om code-injectie of bestandsoverschrijvingen te veroorzaken.

Developers and DevOps teams using Black in automated pipelines or CI/CD systems are particularly at risk. Environments where Black is integrated with third-party tools or services that provide untrusted input to the --python-cell-magics option are also vulnerable. Shared hosting environments where multiple users have access to the Black command-line interface should be carefully reviewed.

• python / code formatting:

Get-Process -Name Black | Select-Object -ExpandProperty Path

• python / code formatting: Check for unusual cache files in unexpected locations (e.g., /etc/passwd.black_cache). • python / code formatting: Monitor command-line arguments passed to Black for suspicious paths or characters in the --python-cell-magics option. • python / code formatting: Review Black configuration files for any hardcoded or default values for --python-cell-magics that could be exploited.

1. 2026-03-12Disclosure

   disclosure

1. Gereserveerd2026-03-11
2. Gepubliceerd2026-03-12
3. Gewijzigd2026-03-16
4. EPSS bijgewerkt2026-03-23

Om deze kwetsbaarheid te mitigeren, wordt het sterk aanbevolen om direct te upgraden naar Black versie 26.3.1 of hoger. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround worden toegepast door te voorkomen dat onbetrouwbare gebruikersinvoer in de --python-cell-magics optie terechtkomt. Dit kan worden bereikt door de optie te valideren of te beperken tot vertrouwde bronnen. Controleer na de upgrade of de kwetsbaarheid is verholpen door een testuitvoering van Black met de --python-cell-magics optie en controleer of de cachebestanden op de verwachte locatie worden geschreven.