Papermerge 3.5.3 allows remote code execution by a standard user via directory traversal in a ...
Summary
Papermerge 3.5.3 allows remote code execution by a standard user via directory traversal in a ...
Original description
The description as published by the source.
Papermerge 3.5.3 allows remote code execution by a standard user via directory traversal in a /api/documents/upload call. A Python .pth file can be written to site-packages, and its code is executed upon the next start of the Python interpreter.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Papermerge 3.5.3には、/api/documents/uploadエンドポイントを通じたディレクトリトラバーサル攻撃によって、通常のユーザーがリモートでコードを実行できる脆弱性があります。Pythonの.pthファイルをsite-packagesに書き込むことが可能で、次回のPythonインタープリタ起動時にそのコードが実行されます。
Papermerge 3.5.3でリモートコード実行が可能になる脆弱性。
バージョン3.5.3のPapermerge、/api/documents/uploadエンドポイント。
通常のユーザーによるディレクトリトラバーサルを用いたリモートコード実行が可能であり、重大な影響を及ぼす可能性があります。
この問題を修正するには、ディレクトリトラバーサルを防止する入力の検証やフィルタリングを実装します。
影響を受けるエンドポイントを無効にするか、アクセス制御を厳密にすることで一時的に対処可能。
ログや監査を通じて、予期しない場所へのファイル作成やコード実行を検出します。
References
- web cve@mitre.org
- web cve@mitre.org
- web cve@mitre.org
- web cve@mitre.org
- web nvd.nist.gov
- web github.com