CVE-2024-42367 in aiohttp
Zusammenfassung
von VulDB • 22.06.2026
aiohttp ist ein asynchrones HTTP-Client-/Server-Framework für asyncio und Python. Vor Version 3.10.2 sind statische Routen, die Dateien mit komprimierten Varianten (`.gz` oder `.br` Erweiterung) enthalten, anfällig für Path Traversal außerhalb des Root-Verzeichnisses, wenn diese Varianten symbolische Links sind. Der Server schützt statische Routen vor Path Traversal außerhalb des Root-Verzeichnisses, wenn `follow_symlinks=False` (Standard). Dies geschieht durch Auflösen der angeforderten URL in einen absoluten Pfad und anschließende Überprüfung dieses Pfads relativ zum Root-Verzeichnis. Diese Prüfungen werden jedoch nicht durchgeführt, wenn nach komprimierten Varianten in der Klasse `FileResponse` gesucht wird; dabei werden symbolische Links automatisch beim Ausführen von `Path.stat()` und `Path.open()` zur Übertragung der Datei gefolgt. Version 3.10.2 enthält einen Patch für das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.