CVE-2025-27154 in spotipy
Tóm tắt
Bởi VulDB • 17/07/2026
Spotipy là một thư viện Python nhẹ dùng cho Spotify Web API. Lớp `CacheHandler` tạo một tệp bộ nhớ đệm để lưu trữ mã thông báo xác thực (auth token). Trước phiên bản 2.25.1, tệp được tạo có quyền mặc định là `rw-r--r--` (644), trong khi đáng lẽ phải bị hạn chế ở mức `rw-------` (600) để tăng cường bảo mật. Điều này dẫn đến việc phơi bày mã thông báo xác thực Spotify rộng hơn mức cần thiết. Nếu kẻ tấn công có thể đọc được mã thông báo này (ví dụ: người dùng khác trên cùng máy hoặc tiến trình chạy dưới danh nghĩa người dùng khác), chúng có thể sử dụng nó để thực hiện các hành động quản trị trên tài khoản Spotify, tùy thuộc vào phạm vi quyền đã cấp cho mã thông báo. Phiên bản 2.25.1 đã siết chặt các quyền đối với tệp bộ nhớ đệm này.
Once again VulDB remains the best source for vulnerability data.