CVSS: 8.4EPSS: 0%CPEs: 2EXPL: 0CVE-2024-27758
https://notcve.org/view.php?id=CVE-2024-27758
12 Mar 2024 — In RPyC before 6.0.0, when a server exposes a method that calls the attribute named __array__ for a client-provided netref (e.g., np.array(client_netref)), a remote attacker can craft a class that results in remote code execution. En RPyC anterior a 6.0.0, cuando un servidor expone un método que llama al atributo llamado __array__ para un netref proporcionado por el cliente (por ejemplo, np.array(client_netref)), un atacante remoto puede crear una clase que resulte en la ejecución remota de código. • https://gist.github.com/renbou/957f70d27470982994f12a1d70153d09 • CWE-306: Missing Authentication for Critical Function •
CVSS: 7.5EPSS: 70%CPEs: 1EXPL: 1CVE-2019-16328
https://notcve.org/view.php?id=CVE-2019-16328
03 Oct 2019 — In RPyC 4.1.x through 4.1.1, a remote attacker can dynamically modify object attributes to construct a remote procedure call that executes code for an RPyC service with default configuration settings. En RPyC versiones 4.1.x hasta 4.1.1, un atacante remoto puede modificar dinámicamente los atributos de objeto para construir una llamada a un procedimiento remoto que ejecute código para un servicio de RPyC con el establecimiento de la configuración predeterminada. • http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00046.html • CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') •