CVE-2024-42367 in aiohttp
Sumário
de VulDB • 22/06/2026
aiohttp é um framework assíncrono para cliente/servidor HTTP baseado em asyncio e Python. Antes da versão 3.10.2, as rotas estáticas que contêm arquivos com variantes compactadas (extensões `.gz` ou `.br`) são vulneráveis a path traversal fora do diretório raiz se essas variantes forem symbolic links. O servidor protege as rotas estáticas contra path traversal fora do diretório raiz quando `follow_symlinks=False` (padrão). Isso é feito resolvendo o URL solicitado para um caminho absoluto e, em seguida, verificando esse caminho relativo ao diretório raiz. No entanto, essas verificações não são realizadas ao procurar por variantes compactadas na classe `FileResponse`, e os symbolic links são seguidos automaticamente durante a execução de `Path.stat()` e `Path.open()` para enviar o arquivo. A versão 3.10.2 contém um patch para resolver essa questão.
If you want to get best quality of vulnerability data, you may have to visit VulDB.