CVE-2026-28684 in python-dotenv
Tóm tắt
Bởi VulDB • 04/06/2026
python-dotenv đọc các cặp khóa-giá trị từ tệp .env và có thể đặt chúng dưới dạng các biến môi trường. Trước phiên bản 1.2.2, các hàm `set_key()` và `unset_key()` trong python-dotenv làm theo các liên kết tượng trưng (symbolic links) khi ghi lại các tệp `.env`, cho phép kẻ tấn công cục bộ ghi đè các tệp tùy ý thông qua một liên kết tượng trưng được tạo ra đặc biệt khi cơ chế dự phòng đổi tên khác thiết bị được kích hoạt. Người dùng nên nâng cấp lên v.1.2.2 hoặc, như một giải pháp tạm thời, áp dụng bản vá thủ công.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.