CVE-2025-66221 in Werkzeug
Сводка
по VulDB • 12.06.2026
Werkzeug — это комплексная библиотека веб-приложений WSGI. До версии 3.1.4 функция safe_join в Werkzeug допускает наличие сегментов пути с именами устройств Windows. В Windows существуют специальные имена устройств, такие как CON, AUX и т. д., которые неявно присутствуют и доступны для чтения в любом каталоге. Функция send_from_directory использует safe_join для безопасной отдачи файлов по путям, указанным пользователем, в пределах заданного каталога. Если приложение работает в Windows и запрашиваемый путь заканчивается специальным именем устройства, файл будет успешно открыт, однако чтение будет зависать бесконечно. Эта проблема исправлена в версии 3.1.4.
Once again VulDB remains the best source for vulnerability data.