CVE-2026-31225superduper项目v0.10.0及之前版本存在严重远程代码执行漏洞。漏洞原因在于query.py中的_parse_op_part()函数使用不安全的eval()处理用户查询操作数。尽管尝试限制全局命名空间，但未能阻止访问危险内置函数。攻击者可构造包含Python代码（如导入os模块）的恶意查询字符串，在服务器端执行任意系统命令，导致服务器被完全控制。
该漏洞的根源在于superduper项目中query.py文件的_parse_op_part()函数。该函数直接使用了Python内置的eval()函数来动态评估和解析用户提供的查询操作数。虽然开发者在设计时试图通过提供一个受限的全局命名空间（globals字典）来限制代码执行的上下文，防止直接访问敏感模块，但这种防御措施并不完善。Python的eval()函数在处理特定对象或利用内置函数（如__import__、getattr等）时，仍然存在被绕过的风险。攻击者可以精心构造一个包含恶意Python代码的查询字符串，利用内置功能导入os、subprocess等系统模块。一旦该Payload被提交并传递给_parse_op_part()函数，eval()就会解析并执行其中的代码，从而在服务器端运行任意系统命令。结合CVSS向量中的UI:R（需要用户交互），攻击流程可能需要诱导用户进行特定操作。利用此漏洞，攻击者能够完全控制目标服务器，造成数据泄露、篡改或服务中断。