Zipline認証済みの攻撃者にサーバー上のファイルを読み取られる脆弱性
Summary
Zipline 3.4.5から3.7.10より前のバージョンに、ユーザーデータのエクスポート機能でパス・トラバーサルの脆弱性が見つかりました。認証済みの攻撃者が、ユーザーIDの確認を回避してサーバー上の任意のファイルを読み取るおそれがあります。修正版の3.7.10に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Zipline 3.4.5から3.7.10より前のバージョンに、ユーザーデータのエクスポート機能でパス・トラバーサルの脆弱性が見つかりました。認証済みの攻撃者が、ユーザーIDの確認を回避してサーバー上の任意のファイルを読み取るおそれがあります。修正版の3.7.10に更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
≥ 3.4.5, < 3.7.10→ 3.7.10 |
3.7.10 |
Original description The description as published by the source.
Zipline versions from 3.4.5 before 3.7.10 contain a path traversal vulnerability in the user data export endpoint via the name query parameter. Authenticated attackers can bypass the user id check and use directory traversal sequences to read arbitrary files on the server host.
Source: CVE.org (CVE Program・cvelistV5) NVD