CVE-2024-22049

ŚrednieCVSS 5.3

Opublikowano: 04/01/2024(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.29%

Percentyl 67 - wyżej niż 67% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece httparty przed wersją 0.21.0 umożliwia atakującemu manipulację nazwami plików podczas przesyłania danych metodą multipart/form-data. Zdalny, nieuwierzytelniony atakujący może dostarczyć spreparowany parametr filename, co prowadzi do zapisu plików o kontrolowanej przez atakującego nazwie.

Ocena ryzyka

Ryzyko polega na możliwości nadpisania istniejących plików lub zapisu złośliwych plików w systemie, co może prowadzić do eskalacji uprawnień lub uruchomienia niebezpiecznego kodu.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę httparty do wersji 0.21.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w httparty

CVE-2025-68696Wysokie
Biblioteka httparty w wersjach 0.23.2 i wcześniejszych jest podatna na SSRF (Server-Side Request Forgery). Może to prowadzić do wycieku kluczy API oraz umożliwić stronom trzecim wysyłanie żądań do serwerów wewnętrznych. Podatność została naprawiona w commicie 0529bcd.

Oryginalny opis (angielski, źródło NVD)

httparty before 0.21.0 is vulnerable to an assumed-immutable web parameter vulnerability. A remote and unauthenticated attacker can provide a crafted filename parameter during multipart/form-data uploads which could result in attacker controlled filenames being written.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS