CVE-2024-42367 in aiohttp
Tóm tắt
Bởi VulDB • 22/06/2026
aiohttp là một khung công tác HTTP client/server bất đồng bộ dành cho asyncio và Python. Trước phiên bản 3.10.2, các tuyến tĩnh (static routes) chứa các tệp có biến thể nén (đuôi `.gz` hoặc `.br`) dễ bị tấn công path traversal ra ngoài thư mục gốc nếu những biến thể đó là symbolic links. Máy chủ bảo vệ các tuyến tĩnh khỏi path traversal ra ngoài thư mục gốc khi `follow_symlinks=False` (mặc định). Cơ chế này hoạt động bằng cách giải quyết URL được yêu cầu thành một đường dẫn tuyệt đối và sau đó kiểm tra đường dẫn đó so với thư mục gốc. Tuy nhiên, các kiểm tra này không được thực hiện khi tìm kiếm các biến thể nén trong lớp `FileResponse`, do đó symbolic links sẽ tự động được theo dõi (followed) khi thực thi `Path.stat()` và `Path.open()` để gửi tệp. Phiên bản 3.10.2 chứa một bản vá cho vấn đề này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.