CVE-2024-42367 in aiohttp
요약
\~에 의해 VulDB • 2026. 06. 18.
aiohttp는 asyncio 및 Python용 비동기 HTTP 클라이언트/서버 프레임워크입니다. 버전 3.10.2 이전에서는 압축된 변형 파일(.gz 또는 .br 확장자)을 포함하는 정적 라우트가 심볼릭 링크인 경우 루트 디렉토리 외부로의 경로 순회(path traversal) 취약점이 있습니다. 서버는 `follow_symlinks=False`(기본값)일 때 정적 라우트를 루트 디렉토리 외부로의 경로 순회로부터 보호합니다. 이는 요청된 URL을 절대 경로로 해결한 후 해당 경로가 루트 기준 상대 경로인지 확인함으로써 이루어집니다. 그러나 `FileResponse` 클래스에서 압축된 변형 파일을 찾을 때는 이러한 검사가 수행되지 않으며, 파일 전송을 위해 `Path.stat()` 및 `Path.open()`을 수행할 때 심볼릭 링크가 자동으로 따라집니다. 버전 3.10.2에는 해당 이슈에 대한 패치가 포함되어 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.