熱點事件持續更新
fickling 0.1.12 兩項 CVE 漏洞曝光
2 篇報導1 個報導來源2 小時前更新
先了解這件事
重點綜述
2026年10月31日，Trail of Bits 釋出兩項 CVE，皆影響 fickling 0.1.12。
- CVE‑2026‑16760 之於 check_safety() 的跳過機制，與 likely_safe_imports 允許未驗證標準函式被視為安全，導致 pickle 反序列化時可執行任意程式碼或寫入檔案。
- CVE‑2026‑118938 則利用 fickling 解析含 dotted __qualname__ 的 pickle，觸發 optparse.Values.read_file，進而執行任意程式碼。
- 兩漏洞均已被確認利用，尚未釋出修補版本，使用者應避免將不可信資料送入 fickling，或盡速升級至後續版本。
根據報導自動生成 · 53 分鐘前更新
最新進展10月31日 06:16
尚未釋出修補版本，建議立即避免使用未信任資料於 fickling。報導時間線
沿著報導，瞭解事件的不同面向。
10月31日
- CVE-high精選CVE-2026-16760：Fickling check_safety() 跳過，likely_safe_imports 讓未驗證標準庫可呼叫函式獲得模組來源信任
Trail of Bits fickling 0.1.12 透過 check_safety() 跳過，likely_safe_imports 讓未驗證的標準庫函式被視為安全，導致 pickle 反序列化可執行任意程式碼或寫入檔案。
- CVE-high精選fickling 0.1.12 允許任意程式碼執行的 CVE-2026-118938 漏洞
**此 CVE-2026-118938 漏洞允許攻擊者利用 fickling 解析含 dotted __qualname__ 的 pickle，執行 optparse.Values.read_file 進而任意執行程式碼。
本事件熱度趨勢
還沒有足夠的連續觀測資料，暫不繪製趨勢。