CVE-2024-3408 in dtale
Résumé
par VulDB • 05/08/2026
La version 3.10.0 de man-group/dtale est vulnérable à une contournement d'authentification et à l'exécution de code à distance (RCE) en raison d'une validation des entrées incorrecte. La vulnérabilité provient d'un `SECRET_KEY` codé en dur dans la configuration Flask, permettant aux attaquants de forger un cookie de session si l'authentification est activée. De plus, l'application ne restreint pas correctement les requêtes de filtres personnalisés, ce qui permet aux attaquants d'exécuter du code arbitraire sur le serveur en contournant la restriction sur le point de terminaison `/update-settings`, même lorsque `enable_custom_filters` n'est pas activé. Cette vulnérabilité permet aux attaquants de contourner les mécanismes d'authentification et d'exécuter un code à distance sur le serveur.
If you want to get best quality of vulnerability data, you may have to visit VulDB.