CVE-2023-46136
WysokieStreszczenie
W bibliotece Werkzeug występuje podatność, która pozwala na zdalne wywołanie ataku typu denial of service poprzez przesyłanie specjalnie przygotowanych danych multipart. Dotyczy to wersji 3.x przed 3.0.1 oraz 2.x przed 2.3.8.
Ocena ryzyka
Atakujący może zablokować procesy robocze, co uniemożliwi obsługę prawidłowych żądań, prowadząc do przerw w dostępności aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.0.1 lub 2.3.8, aby usunąć tę podatność.
Inne podatności w Werkzeug
Zobacz wszystkie- CVE-2026-102598Średnie
W bibliotece Werkzeug przed wersją 3.1.9 funkcja safe_join używana przez send_from_directory może pozwolić na ścieżkę specjalnego urządzenia NUL:, ponieważ safe_join sprawdza nazwę urządzenia Windows bez uprzedniego usunięcia pustego znacznika NTFS ADS. Problem występuje, gdy aplikacja działa w systemie Windows z NTFS i obsługuje ścieżkę podaną przez użytkownika kończącą się nazwą specjalnego urządzenia, taką jak NUL:.
- CVE-2025-66221Średnie
Werkzeug, biblioteka WSGI dla aplikacji webowych, w wersjach przed 3.1.4 pozwala funkcji safe_join na ścieżki zawierające nazwy urządzeń Windows (np. CON, AUX). Na systemie Windows żądanie ścieżki kończącej się taką nazwą powoduje otwarcie pliku, ale odczyt zawiesza się na stałe. Problem naprawiono w wersji 3.1.4.
Oryginalny opis (angielski, źródło NVD)
Werkzeug is a comprehensive WSGI web application library. In versions on the 3.x branch prior to 3.0.1 and on the 2.x branch prior to 2.3.8, if an upload of a file that starts with CR or LF and then is followed by megabytes of data without these characters: all of these bytes are appended chunk by chunk into internal bytearray and lookup for boundary is performed on growing buffer. This allows an attacker to cause a denial of service by sending crafted multipart data to an endpoint that will parse it. The amount of CPU time required can block worker processes from handling legitimate requests. This vulnerability has been patched in version 3.0.1 and 2.3.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS