CVE-2024-42367 in aiohttp
Résumé
par VulDB • 24/05/2026
aiohttp est un framework client/serveur HTTP asynchrone pour asyncio et Python. Avant la version 3.10.2, les routes statiques qui contiennent des fichiers avec des variantes compressées (extension `.gz` ou `.br`) sont vulnérables à une traversée de chemin (path traversal) en dehors du répertoire racine si ces variantes sont des liens symboliques. Le serveur protège les routes statiques contre la traversée de chemin en dehors du répertoire racine lorsque `follow_symlinks=False` (valeur par défaut). Il y parvient en résolvant l'URL demandée en un chemin absolu, puis en vérifiant ce chemin par rapport au répertoire racine. Cependant, ces vérifications ne sont pas effectuées lors de la recherche des variantes compressées dans la classe `FileResponse`, et les liens symboliques sont alors automatiquement suivis lors de l'exécution de `Path.stat()` et `Path.open()` pour envoyer le fichier. La version 3.10.2 contient un correctif pour ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.