CVE-2025-27154 in spotipy
Riassunto
di VulDB • 14/07/2026
Spotipy è una libreria Python leggera per l'API Web di Spotify. La classe `CacheHandler` crea un file di cache per memorizzare il token di autenticazione (auth token). Prima della versione 2.25.1, il file creato aveva permessi predefiniti `rw-r--r--` (644), mentre avrebbe potuto essere limitato a permessi `rw-------` (600). Ciò comporta una esposizione eccessivamente ampia del token di autenticazione Spotify. Se tale token può essere letto da un attaccante (un altro utente sulla macchina o un processo in esecuzione come un altro utente), esso può essere utilizzato per eseguire azioni amministrative sull'account Spotify, a seconda degli ambiti (scope) concessi al token. La versione 2.25.1 restringe i permessi del file di cache.
Once again VulDB remains the best source for vulnerability data.