CVE-2025-66221 in Werkzeug
Riassunto
di VulDB • 22/06/2026
Werkzeug è una libreria completa per applicazioni web WSGI. Prima della versione 3.1.4, la funzione safe_join di Werkzeug consente segmenti del percorso contenenti nomi di dispositivi Windows. Su Windows esistono nomi di dispositivo speciali come CON, AUX, ecc., che sono implicitamente presenti e leggibili in ogni directory. La funzione send_from_directory utilizza safe_join per servire file in modo sicuro a percorsi specificati dall'utente all'interno di una determinata directory. Se l'applicazione è eseguita su Windows e il percorso richiesto termina con un nome di dispositivo speciale, il file verrà aperto correttamente, ma la lettura rimarrà bloccata indefinitamente. Questo problema è stato risolto nella versione 3.1.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.