JP1227C¶

Shell инъекция. Запуск процесса с указанием относительного пути¶

Проверка использования относительного при запуске нового процесса (использование пути, который не начинается с символа /). В случае умышленной подмены переменных окружения в файле PATH, может быть потенциально запущена небезопасная программа.

Пример небезопасного использования¶

1
2
3

from subprocess import Popen

Popen("bin/gcc --version", shell=False)

Дополнительная информация¶

• https://cwe.mitre.org/data/definitions/78.html
• https://docs.python.org/3/library/os.html#process-management