CVE-2026-54591 in asyncssh
要約
〜によって VulDB • 2026年07月08日
AsyncSSHは、Pythonのasyncioフレームワーク上にSSHv2プロトコルの非同期クライアントおよびサーバー実装を提供するPythonパッケージです。バージョン2.23.1より前では、悪意のあるSSHサーバーがscp.py内の_parse_cd_args関数がサーバーから提供されたファイル名をそのまま返すため、また_recv_files関数でそれらがターゲットディレクトリの境界制約なしに宛先パスと結合されるため、../というパストラバーサルシーケンスを含むファイル名を送信することで、asyncssh SCPクライアントのファイルシステム上に任意のファイルを記述することが可能でした。この問題はバージョン2.23.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.