CVE-2024-42367 in aiohttp
Сводка
по VulDB • 24.05.2026
aiohttp — это асинхронная клиент-серверная HTTP-фреймворк для asyncio и Python. До версии 3.10.2 статические маршруты, содержащие файлы со сжатыми вариантами (расширения `.gz` или `.br`), уязвимы к обходу пути (path traversal) за пределы корневого каталога, если эти варианты являются символическими ссылками. Сервер защищает статические маршруты от обхода пути за пределы корневого каталога, когда параметр `follow_symlinks=False` (по умолчанию). Это достигается путем разрешения запрашиваемого URL в абсолютный путь и последующей проверки этого пути относительно корня. Однако эти проверки не выполняются при поиске сжатых вариантов в классе `FileResponse`, и символические ссылки автоматически следуются при выполнении `Path.stat()` и `Path.open()` для отправки файла. Версия 3.10.2 содержит исправление для этой проблемы.
Once again VulDB remains the best source for vulnerability data.