Black: Escrita arbitrária de arquivos a partir de entrada de usuário não sanitizada no nome do arquivo de cache

A exploração bem-sucedida desta vulnerabilidade permite que um atacante grave arquivos em qualquer local do sistema de arquivos que o processo Black tenha permissão para acessar. Isso pode levar à execução de código arbitrário, roubo de dados confidenciais ou modificação de arquivos de sistema. O impacto potencial é significativo, pois um atacante pode comprometer a integridade e a confidencialidade do sistema. A falta de sanitização da entrada --python-cell-magics torna a exploração relativamente simples, especialmente em ambientes onde essa opção é configurável e pode ser influenciada por fontes externas não confiáveis.

Developers and DevOps teams using Black in automated pipelines or CI/CD systems are particularly at risk. Environments where Black is integrated with third-party tools or services that provide untrusted input to the --python-cell-magics option are also vulnerable. Shared hosting environments where multiple users have access to the Black command-line interface should be carefully reviewed.

• python / code formatting:

Get-Process -Name Black | Select-Object -ExpandProperty Path

• python / code formatting: Check for unusual cache files in unexpected locations (e.g., /etc/passwd.black_cache). • python / code formatting: Monitor command-line arguments passed to Black for suspicious paths or characters in the --python-cell-magics option. • python / code formatting: Review Black configuration files for any hardcoded or default values for --python-cell-magics that could be exploited.

1. 2026-03-12Disclosure

   disclosure

1. Reservado2026-03-11
2. Publicada2026-03-12
3. Modificada2026-03-16
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o Black para a versão 26.3.1 ou superior, que inclui a correção. Se a atualização imediata não for possível, uma solução alternativa é evitar o uso de entrada de usuário não confiável no valor da opção --python-cell-magics. Isso pode ser feito restringindo as fontes de entrada para essa opção ou implementando uma validação rigorosa da entrada antes de usá-la. Em ambientes de produção, considere implementar um firewall de aplicativos web (WAF) para bloquear solicitações maliciosas que tentem explorar essa vulnerabilidade. Após a atualização, confirme a correção verificando a versão do Black instalada com o comando black --version.