Producto(s) afectado(s):
- Versiones de python-json-logger < 3.3.0
Descripción
Se ha identificado una vulnerabilidad crítica en ‘python-json-logger’, una librería Python muy popular que se utiliza para generar registros/logs JSON, la misma es compartida por el popular repositorio PyPi. Esta vulnerabilidad podría permitir a los atacantes ejecutar código arbitrario (RCE) en sistemas donde esté instalada la librería. La vulnerabilidad esta identificada como CVE-2025-27607 con una puntuación CVSS de 8.8
Se origina en una librería faltante llamada ‘msgspec-python313-pre’. Esta dependencia, si bien es opcional, no está presente en el repositorio de PyPI, lo que la deja abierta a la explotación. Si un atacante publica un paquete malicioso con el mismo nombre (‘msgspec-python313-pre’) en PyPI. Cuando los desarrolladores instalen ‘python-json-logger’ con las dependencias opcionales, este paquete malicioso se instalará automáticamente, lo que podría otorgarle al atacante capacidades de ejecución remota de código (RCE).
El paquete python-json-logger tiene más de 43 millones de descargas por mes, lo que convierte a esta vulnerabilidad en una amenaza importante para una gran cantidad de usuarios. Cualquier usuario que instale el paquete con las dependencias opcionales en un entorno Python 3.13.x corre un riesgo potencial. Además, es importante mencionar que ya se encuentra un PoC publicado.
Ilustración 1 En esta imagen se puede evidenciar cuando uno agrega la opción dev descarga el paquete que fue eliminado y puede ser sustituido por otro malicioso.
Solución
Para solucionar esto, se recomienda actualizar inmediatamente a la versión 3.3.0 o posterior donde se ha solucionado esta vulnerabilidad de ‘python-json-logger’.
https://github.com/nhairs/python-json-logger/releases/tag/v3.3.0
Información adicional:
- https://github.com/nhairs/python-json-logger/releases/tag/v3.3.0
- https://securityonline.info/popular-python-logging-library-vulnerable-to-remote-code-execution-cve-2025-27607/
- https://github.com/nhairs/python-json-logger/security/advisories/GHSA-wmxh-pxcx-9w24