PT-2024-40067 · Pypi · Aiocpa

Publicado 2024-11-25 · Atualizado 2024-11-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.3

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do aiocpa anteriores à remoção do PyPI

Descrição

O problema diz respeito a uma biblioteca voltada para o usuário, usada para gerar gradientes de cor em textos, que introduziu código malicioso na versão 0.1.13. Esse código malicioso tem como alvo usuários do Crypto Pay, encaminhando credenciais de clientes para um bot remoto do Telegram.

Recomendações

Para todas as versões afetadas, não há informações sobre uma versão mais recente que contenha uma correção para este problema, uma vez que todas as versões foram removidas do PyPI.

Correção

Identificadores relacionados

GHSA-486G-47CC-8WXF

Produtos afetados

Aiocpa

Referências · 4

• https://github.com/pypa/advisory-database/tree/main/vulns/aiocpa/PYSEC-2024-152.yaml · Nota
• https://inspector.pypi.io/project/aiocpa/0.1.13/packages/ab/98/7343281068a2c39086d0b877219668a487508197f46e89b3f41046a4a8ba/aiocpa-0.1.13.tar.gz/aiocpa-0.1.13/cryptopay/utils/sync.py#line.44 · Nota
• https://blog.pypi.org/posts/2024-11-25-aiocpa-attack-analysis · Nota
• https://osv.dev/vulnerability/GHSA-486g-47cc-8wxf · Aviso do Fabricante