Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-03615

Опубликовано: 06 окт. 2025
Источник: fstec
CVSS3: 6.4
CVSS2: 6.9
EPSS Низкий

Описание

Уязвимость библиотеки python-socketio связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «Ред Софт»
Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС
python-socketio

Версия ПО

8.0 (РЕД ОС)
до 5.16.0 (python-socketio)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,9)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/miguelgrinberg/python-socketio
https://github.com/miguelgrinberg/python-socketio/commit/53f6be094257ed81476b0e212c8cddd6d06ca39a
https://github.com/miguelgrinberg/python-socketio/security/advisories/GHSA-g8c6-8fjj-2r4m
https://www.bluerock.io/post/cve-2025-61765-bluerock-discovers-critical-rce-in-socket-io-ecosystem
Для Ред ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-python-socketio-cve-2025-61765-7.3/?sphrase_id=1452845

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 72%
0.00696
Низкий

6.4 Medium

CVSS3

6.9 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.4
redos
около 2 месяцев назад

Уязвимость python-socketio

CVSS3: 6.4
ubuntu
6 месяцев назад

python-socketio is a Python implementation of the Socket.IO realtime client and server. A remote code execution vulnerability in python-socketio versions prior to 5.14.0 allows attackers to execute arbitrary Python code through malicious pickle deserialization in multi-server deployments on which the attacker previously gained access to the message queue that the servers use for internal communications. When Socket.IO servers are configured to use a message queue backend such as Redis for inter-server communication, messages sent between the servers are encoded using the `pickle` Python module. When a server receives one of these messages through the message queue, it assumes it is trusted and immediately deserializes it. The vulnerability stems from deserialization of messages using Python's `pickle.loads()` function. Having previously obtained access to the message queue, the attacker can send a python-socketio server a crafted pickle payload that executes arbitrary code during de...

CVSS3: 6.4
nvd
6 месяцев назад

python-socketio is a Python implementation of the Socket.IO realtime client and server. A remote code execution vulnerability in python-socketio versions prior to 5.14.0 allows attackers to execute arbitrary Python code through malicious pickle deserialization in multi-server deployments on which the attacker previously gained access to the message queue that the servers use for internal communications. When Socket.IO servers are configured to use a message queue backend such as Redis for inter-server communication, messages sent between the servers are encoded using the `pickle` Python module. When a server receives one of these messages through the message queue, it assumes it is trusted and immediately deserializes it. The vulnerability stems from deserialization of messages using Python's `pickle.loads()` function. Having previously obtained access to the message queue, the attacker can send a python-socketio server a crafted pickle payload that executes arbitrary code during deser

CVSS3: 6.4
debian
6 месяцев назад

python-socketio is a Python implementation of the Socket.IO realtime c ...

suse-cvrf
6 месяцев назад

Security update for python-python-socketio

EPSS

Процентиль: 72%
0.00696
Низкий

6.4 Medium

CVSS3

6.9 Medium

CVSS2