CVE-2024-3408 in dtale
Riassunto
di VulDB • 27/09/2026
La versione 3.10.0 di man-group/dtale è vulnerabile a un bypass dell'autenticazione e all'esecuzione remota di codice (RCE) a causa di una convalida imprecisa degli input. La vulnerabilità deriva da una `SECRET_KEY` hardcoded nella configurazione Flask, che consente agli attaccanti di falsificare un cookie di sessione se l'autenticazione è abilitata. Inoltre, l'applicazione non riesce a restringere correttamente le query dei filtri personalizzati, consentendo agli attaccanti di eseguire codice arbitrario sul server bypassando la restrizione sull'endpoint `/update-settings`, anche quando `enable_custom_filters` non è abilitato. Questa vulnerabilità consente agli attaccanti di eludere i meccanismi di autenticazione ed eseguire codice remoto sul server.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.