高 8.3

Zipline認証済みの攻撃者にサーバー上のファイルを読み取られる脆弱性

CVE-2024-58404 SecPulse初出 18:37

概要

Zipline 3.4.5から3.7.10より前のバージョンに、ユーザーデータのエクスポート機能でパス・トラバーサルの脆弱性が見つかりました。認証済みの攻撃者が、ユーザーIDの確認を回避してサーバー上の任意のファイルを読み取るおそれがあります。修正版の3.7.10に更新してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
diced	dicedzipline	3.4.5 以上 3.7.10 未満→ 3.7.10	3.7.10

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Zipline versions from 3.4.5 before 3.7.10 contain a path traversal vulnerability in the user data export endpoint via the name query parameter. Authenticated attackers can bypass the user id check and use directory traversal sequences to read arbitrary files on the server host.

出典: CVE.org (CVE Program・cvelistV5) NVD