平台
python
组件
mesa
修复版本
3.5.1
Mesa是一个开源的Python库，用于基于代理的建模，模拟复杂系统并探索涌现行为。在3.5.0版本及更早版本中，benchmarks.yml工作流中检查不受信任的代码可能导致特权运行器中的代码执行。此问题已通过提交c35b8cd修复，建议尽快更新。
此漏洞允许攻击者在Mesa的特权运行器环境中执行任意代码。攻击者可以通过精心构造的benchmarks.yml文件，利用该工作流触发漏洞，从而获得对运行Mesa的系统的控制权。潜在影响包括数据泄露、系统破坏，甚至可能被用于进一步攻击其他系统。由于Mesa常用于模拟复杂系统，攻击者可能利用该漏洞获取敏感数据或操纵模拟结果。
此漏洞已公开披露，并已发布修复补丁。目前尚无公开的PoC，但由于漏洞的严重性，存在被利用的风险。该漏洞已添加到CISA KEV目录中，表明其具有中等概率被利用。建议尽快采取缓解措施。
Organizations and individuals utilizing Mesa for agent-based modeling, particularly those running simulations in environments with limited access controls or where the runner environment has elevated privileges. Researchers and developers who have customized the benchmarks.yml workflow are also at increased risk.
• python / supply-chain:
import os
import subprocess
# Check Mesa version
result = subprocess.run(['pip', 'show', 'mesa'], capture_output=True, text=True)
if result.returncode == 0:
mesa_version = result.stdout.split('Version: ')[1].split('\n')[0]
if float(mesa_version) <= 3.5:
print("Mesa version is vulnerable.")
else:
print("Mesa is not installed.")• generic web: Check for unusual files or modifications within the Mesa installation directory, particularly related to the benchmarks.yml workflow.
disclosure
漏洞利用状态
EPSS
0.12% (31% 百分位)
CISA SSVC
最有效的缓解措施是升级到修复版本。如果升级不可行，可以考虑以下临时措施：审查benchmarks.yml文件，确保其中不包含不受信任的代码。限制运行Mesa的运行器的权限，减少攻击者利用漏洞后的潜在影响。监控运行Mesa的系统，及时发现并响应可疑活动。在升级后，验证修复是否成功，可以通过运行基准测试并检查运行器日志来确认。
将 Mesa 库更新到 commit c35b8cd 之后的版本。这将解决在 `benchmarks.yml` 工作流中提取不受信任代码时的代码执行漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-29075是Mesa 3.5.0及更早版本中发现的一个远程代码执行漏洞，攻击者可以通过benchmarks.yml文件在特权运行器中执行代码。
如果您正在使用Mesa 3.5.0或更早版本，则可能受到影响。请尽快升级到修复版本。
升级到修复版本是最佳解决方案。如果无法升级，请审查benchmarks.yml文件并限制运行器的权限。
目前尚无公开的PoC，但由于漏洞的严重性，存在被利用的风险。
请查阅Mesa官方网站或GitHub仓库以获取官方公告和修复信息。
CVSS 向量
上传你的 requirements.txt 文件，立即知道是否受影响。