PT-2024-21809 · Nginx+7 · Nginx+7
Arkark
·
Publicado
2024-04-18
·
Atualizado
2025-08-21
·
CVE-2024-27306
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do aiohttp anteriores à 3.9.4
Descrição
Existe uma vulnerabilidade XSS nas páginas de índice para o tratamento de arquivos estáticos. Esse problema surge ao usar
web.static(..., show index=True), pois as páginas de índice resultantes não escapam nomes de arquivos, tornando o servidor vulnerável a ataques XSS se os usuários puderem enviar arquivos com nomes arbitrários para o diretório estático. Os usuários que seguirem a recomendação de usar um servidor proxy reverso, como o nginx, para servir arquivos estáticos não são afetados.Recomendações
Para versões anteriores à 3.9.4, atualize para a versão 3.9.4 ou posterior para resolver o problema.
Como solução alternativa temporária, considere desativar o parâmetro
show index caso não seja possível atualizar.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Linuxmint
Red Os
Suse
Ubuntu
Aiohttp
Nginx