PT-2025-8943 · Spotipy · Spotipy

Alichtman · Publicado 2025-02-27 · Atualizado 2025-03-03 · CVE-2025-27154

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Spotipy anteriores à 2.25.1

Descrição O problema envolve a classe CacheHandler no Spotipy, que cria um arquivo de cache para armazenar o token de autenticação com permissões excessivamente amplas. Isso permite a exposição potencial do token de autenticação do Spotify, que poderia ser lido por um atacante, como outro usuário na máquina ou um processo executando como outro usuário. Se acessado, o token pode ser usado para realizar ações administrativas na conta do Spotify, dependendo do escopo concedido ao token.

Recomendações Para versões anteriores à 2.25.1, atualize para a versão 2.25.1 para restringir as permissões do arquivo de cache e prevenir a exposição excessivamente ampla do token de autenticação do Spotify.

Exploit

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2025-27154

GHSA-PWHH-Q4H6-W599

OPENSUSE-SU-2025:14847-1

Produtos afetados

Spotipy

Referências · 27

• 🔥 https://github.com/spotipy-dev/spotipy/security/advisories/GHSA-pwhh-q4h6-w599 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/27xxx/CVE-2025-27154.json · Exploit
• https://github.com/spotipy-dev/spotipy/blob/master/spotipy/cache_handler.py#L93-L98 · Nota
• https://github.com/spotipy-dev/spotipy/commit/1ca453f6ef87a2a9e9876f52b6cb38d13532ccf2 · Correção
• https://github.com/spotipy-dev/spotipy/releases/tag/2.25.1 · Nota
• https://github.com/spotipy-dev/spotipy · Nota
• https://ubuntu.com/security/CVE-2025-27154 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1895112389567062388 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-27154 · Aviso do Fabricante
• https://twitter.com/TweetThreatNews/status/1896613405294751867 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-27154 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-27154 · Nota de Segurança
• https://t.me/pentestingnews/57283 · Publicação no Telegram
• https://twitter.com/syedaquib77/status/1896451903351030200 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1896387199278678342 · Publicação no Twitter