PT-2026-2107 · Werkzeug · Werkzeug

Yueyuel · Publicado 2026-01-08 · Atualizado 2026-06-03 · CVE-2026-21860

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Werkzeug anteriores a 3.1.5

Descrição A função safe join do Werkzeug trata inadequadamente segmentos de caminho contendo nomes de dispositivos do Windows com extensões de arquivo ou espaços no final. Nomes de dispositivos do Windows, como CON e AUX, estão implicitamente presentes e são legíveis em qualquer diretório, sendo aceitos com extensões de arquivo (por exemplo, CON.txt) ou espaços no final (por exemplo, CON ). Isso pode resultar em acesso não autorizado ou manipulação de recursos do sistema.

Recomendações Atualize o Werkzeug para a versão 3.1.5 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-67

Identificadores relacionados

CVE-2026-21860

GHSA-87HC-H4R5-73F7

Produtos afetados

Werkzeug

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/21xxx/CVE-2026-21860.json · Exploit
• https://github.com/pallets/werkzeug · Nota
• https://github.com/pallets/werkzeug/commit/7ae1d254e04a0c33e241ac1cca4783ce6c875ca3 · Correção
• https://github.com/pallets/werkzeug/security/advisories/GHSA-87hc-h4r5-73f7 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALPINE-CVE-2026-21860 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-21860 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-21860 · Nota de Segurança
• https://twitter.com/CVEnew/status/2009462338295091494 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-21860 · Aviso do Fabricante
• https://t.me/msrcreports/3204 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-21860 · Nota de Segurança
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-21860 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-21860 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-87hc-h4r5-73f7 · Aviso do Fabricante
• https://t.me/CVEtracker/41759 · Publicação no Telegram