PT-2026-21351 · Werkzeug · Werkzeug

Alimezar · Publicado 2026-02-19 · Atualizado 2026-06-03 · CVE-2026-27199

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Werkzeug 3.1.5 e inferiores

Descrição A função safe join no Werkzeug, uma biblioteca de aplicação web WSGI, manipula incorretamente nomes de dispositivos do Windows quando usados como nomes de arquivos, particularmente quando precedidos por outros segmentos de caminho. Especificamente, a função permite nomes de dispositivos do Windows como nomes de arquivos, o que pode levar a um bloqueio indefinido durante a leitura de arquivos se a aplicação estiver em execução no Windows e o caminho solicitado terminar com um nome de dispositivo especial. A função send from directory utiliza safe join para servir arquivos, tornando-a suscetível a este problema.

Recomendações Atualize para a versão 3.1.6 ou posterior do Werkzeug.

Exploit

Correção

Enumeração de Fraquezas

CWE-67

Identificadores relacionados

CVE-2026-27199

GHSA-29VQ-49WR-VM6X

Produtos afetados

Werkzeug

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27199.json · Exploit
• https://github.com/pallets/werkzeug/security/advisories/GHSA-29vq-49wr-vm6x · Aviso do Fabricante
• https://github.com/pallets/werkzeug/commit/f407712fdc60a09c2b3f4fe7db557703e5d9338d · Correção
• https://github.com/pallets/werkzeug · Nota
• https://github.com/pallets/werkzeug/releases/tag/3.1.6 · Nota
• https://osv.dev/vulnerability/GHSA-29vq-49wr-vm6x · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-27199 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALPINE-CVE-2026-27199 · Aviso do Fabricante
• https://t.me/cveNotify/152697 · Publicação no Telegram
• https://security.alpinelinux.org/vuln/CVE-2026-27199 · Nota
• https://t.me/msrcreports/3297 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-27199 · Nota de Segurança
• https://t.me/msrcreports/3228 · Publicação no Telegram
• https://t.me/CVEtracker/45350 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-27199 · Aviso do Fabricante