PT-2022-23024 · Streamlit · Streamlit
Kmcgrady
·
Publicado
2022-08-01
·
Atualizado
2024-08-13
·
CVE-2022-35918
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Streamlit anteriores à 1.11.1
Descrição
O Streamlit é uma estrutura de desenvolvimento de aplicativos orientada a dados para Python. Os usuários que hospedam aplicativos Streamlit que utilizam componentes personalizados estão vulneráveis a um ataque de traversal de diretório, o qual poderia causar o vazamento de dados do sistema de arquivos do servidor web, tais como logs do servidor, arquivos acessíveis a todos e, potencialmente, outras informações confidenciais. Um invasor pode criar uma URL maliciosa com caminhos de arquivo, e o servidor Streamlit processaria essa URL e retornaria o conteúdo desse arquivo ou sobrescreveria arquivos existentes no servidor web.
Recomendações
Para versões anteriores à 1.11.1, atualize para a versão 1.11.1 para resolver o problema. Como prática geral de segurança, verifique se há código malicioso nos componentes personalizados antes de usá-los em aplicativos e siga as melhores práticas de segurança, como executar servidores web com privilégios reduzidos e usar firewalls para mitigar a gravidade de tais explorações.
Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Streamlit