Исходное описание
The CGIHTTPServer module in Python 2.7.5 and 3.3.4 does not properly handle URLs in which URL encoding is used for path separators, which allows remote attackers to read script source code or conduct directory traversal attacks and execute unintended code via a crafted character sequence, as demonstrated by a %2f separator.
Затронутое ПО
- Python ≥ 2.7.0 < 2.7.8≥ 3.2.0 < 3.2.6≥ 3.3.0 < 3.3.6≥ 3.4.0 < 3.4.2 Исправлено в: 2.7.8, 3.2.6, 3.3.6, 3.4.2 точное совпадение
Подробности
- Опубликовано
- 2020-02-21
- Последнее изменение
- 2024-08-06
- Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Ссылки
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.