CVE-2026-24486
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
Biblioteka Python-Multipart przed wersją 0.0.22 zawiera podatność na Path Traversal przy użyciu niestandardowych opcji konfiguracyjnych UPLOAD_DIR i UPLOAD_KEEP_FILENAME=True. Atakujący może zapisać przesłane pliki w dowolnej lokalizacji w systemie plików poprzez spreparowaną nazwę pliku.
Ocena ryzyka
Organizacja jest narażona na zapis złośliwych plików w newralgicznych lokalizacjach, co może prowadzić do wykonania kodu, eskalacji uprawnień lub uszkodzenia systemu.
Rekomendacja
Należy zaktualizować Python-Multipart do wersji 0.0.22 lub nowszej. Jako tymczasowe rozwiązanie, nie używaj opcji UPLOAD_KEEP_FILENAME=True w konfiguracji projektu.
Inne podatności w Python-Multipart
Zobacz wszystkie- CVE-2026-42561Wysokie
Python-Multipart przed wersją 0.0.27 nie ograniczał liczby ani rozmiaru nagłówków części multipart/form-data. Atakujący może wysłać żądanie z wieloma powtarzającymi się nagłówkami lub pojedynczym bardzo dużym nagłówkiem, powodując nadmierne obciążenie CPU i odmowę usługi.
- CVE-2026-40347Średnie
Python-Multipart to strumieniowy parser multipart dla Pythona. Wersje przed 0.0.26 mają podatność na odmowę usługi podczas parsowania spreparowanych żądań multipart/form-data z dużymi sekcjami preambuły lub epilogu. Zaleca się aktualizację do wersji 0.0.26 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Python-Multipart is a streaming multipart parser for Python. Prior to version 0.0.22, a Path Traversal vulnerability exists when using non-default configuration options `UPLOAD_DIR` and `UPLOAD_KEEP_FILENAME=True`. An attacker can write uploaded files to arbitrary locations on the filesystem by crafting a malicious filename. Users should upgrade to version 0.0.22 to receive a patch or, as a workaround, avoid using `UPLOAD_KEEP_FILENAME=True` in project configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS