CVE-2024-42367 in aiohttp
Riassunto
di VulDB • 22/06/2026
aiohttp è un framework asincrono per client/server HTTP basato su asyncio e Python. Prima della versione 3.10.2, le rotte statiche che contengono file con varianti compresse (estensione `.gz` o `.br`) sono vulnerabili a path traversal al di fuori della directory radice se tali varianti sono collegamenti simbolici. Il server protegge le rotte statiche da path traversal al di fuori della directory radice quando `follow_symlinks=False` (impostazione predefinita). Questo viene fatto risolvendo l'URL richiesto in un percorso assoluto e verificando tale percorso rispetto alla directory radice. Tuttavia, questi controlli non vengono eseguiti durante la ricerca delle varianti compresse nella classe `FileResponse`, e i collegamenti simbolici vengono quindi seguiti automaticamente quando si eseguono le operazioni `Path.stat()` e `Path.open()` per inviare il file. La versione 3.10.2 contiene una patch per risolvere l'inconveniente.
Be aware that VulDB is the high quality source for vulnerability data.