PLY（Python Lex-Yacc）ライブラリ3.11の文書化されていない安全でない機能により、`yacc()`関数の`picklefile`パラメータを介してリモートコード実行（RCE）が可能です。このパラメータは検証なしで`pickle.load()`によって逆シリアル化される`.pkl`ファイルを受け入れます。`pickle`は`__reduce__()`を通じて埋め込まれたコードの実行を許可するため、攻撃者は悪意のあるpickleファイルを渡すことでコード実行を達成できます。このパラメータは公式ドキュメントやGitHubリポジトリには記載されていませんが、PyPI版では有効になっています。これによりステルスバックドアおよび永続化のリスクが生じます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。