CVE:CVE-2021-38305
CNNVD:CNNVD-202108-833
23andMe Yamale是开源的YAML 的架构和验证器。
23andMe Yamale 存在代码问题漏洞，该漏洞源于在3.0.8版本之前的23andMe Yamale中模式解析器使用eval作为其处理的一部分，并试图通过限制传递给eval的内置函数来防止恶意表达式，在处理模式时，每一行都通过Python的eval函数运行，以使验证器可用，其中在架构规则中构造良好的字符串可以执行系统命令。攻击者可利用该漏洞在调用Yamale的映像上运行任意代码。
solution:Upgrade 23andme yamale to a higher version than 3.0.8,and avoid the version (,3.0.8)