Ziplineにファイルを任意の場所へ書き込まれる脆弱性
Summary
Zipline 4.3.2以前には、パストラバーサルの脆弱性があります。認証を受けたアップローダーが、x-zipline-filenameヘッダーにトラバーサル文字列を入れると、アップロード先の外側にファイルを作成または上書きできるおそれがあります。ローカルのデータソースを使う環境では、アプリケーションのデータが壊れたりサービスが止まったりするおそれがあるため、早めの確認をおすすめします。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Zipline 4.3.2以前には、パストラバーサルの脆弱性があります。認証を受けたアップローダーが、x-zipline-filenameヘッダーにトラバーサル文字列を入れると、アップロード先の外側にファイルを作成または上書きできるおそれがあります。ローカルのデータソースを使う環境では、アプリケーションのデータが壊れたりサービスが止まったりするおそれがあるため、早めの確認をおすすめします。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
≤ 4.3.2→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
Zipline through 4.3.2 contains a path traversal vulnerability that allows authenticated uploaders to write files outside the upload directory by supplying traversal sequences in the x-zipline-filename header. Attackers using the local datasource can create or overwrite files writable by the Zipline process, corrupting application data or disrupting service.
Source: CVE.org (CVE Program・cvelistV5) NVD