mistune にファイル読み取りの脆弱性、3.3.0 で修正
Summary
mistune 3.3.0 より前のバージョンには、Include ディレクティブでパス・トラバーサルが起きる脆弱性があります。Markdown.read() で処理される Markdown を細工されると、/etc/passwd などローカルファイルの内容が漏えいするおそれがあります。修正版の 3.3.0 以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
mistune 3.3.0 より前のバージョンには、Include ディレクティブでパス・トラバーサルが起きる脆弱性があります。Markdown.read() で処理される Markdown を細工されると、/etc/passwd などローカルファイルの内容が漏えいするおそれがあります。修正版の 3.3.0 以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| lepture | mistune |
< 3.3.0 |
3.3.0 |
Original description The description as published by the source.
Mistune before 3.3.0 contains a path traversal vulnerability in the opt-in Include directive that allows attackers to read local files by supplying relative or absolute include paths. Attackers who submit Markdown rendered via Markdown.read() can disclose files such as /etc/passwd and inject unescaped HTML or script content into rendered output.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com