Traversée de chemin dans path-traversal (CVE-2026-38360, CVSS 9.8)

Résumé

traversée de chemin dans path-traversal (CVE-2026-38360). L'exploitation peut entraîner la prise de contrôle totale du système.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

An unauthenticated path traversal vulnerability exists in dash-uploader versions 0.1.0 through 0.7.0a2. The library's HTTP request handler at dash_uploader/httprequesthandler.py reads three form parameters (upload_id, resumableFilename, resumableIdentifier) from request.form.get() and passes them directly to os.path.join() and os.makedirs() without any sanitization.

A single unauthenticated POST /API/dash-uploader request with upload_id set to a relative path (e.g. ../../etc/cron.d or ../venv/lib/python3.13/site-packages) escapes the application's uploads/ directory and writes the supplied file content to the chosen target path under the privilege of the gunicorn / WSGI process.

When the chosen target is a Python site-packages directory and the dropped file is a .pth file containing an import-prefixed line, Python's site module executes that line on the next interpreter startup, yielding remote code execution. Other escalation paths reachable from the same primitive include overwriting the running WSGI module, dropping ~/.ssh/authorized_keys, or writing JavaScript into a Dash-served assets/ directory for stored XSS.

Affected versions

All 16 published PyPI releases (0.1.0 through 0.7.0a2) are affected. The package repository was archived on 2025-07-19; no patched version exists.

Mitigation

Replace dash-uploader with an alternative file-upload component (for exampl…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-38360 a été découverte dans path-traversal.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-38360 » sur le site de l'éditeur.

CVE-2026-38360 (path-traversal) — CWE-22 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une traversée de chemin (CWE-22) affecte path-traversal.

📍 Périmètre concerné

path-traversal — .

🔥 Gravité

Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système

🔧 Comment corriger

Mettre à jour vers la version corrigée selon l'avis éditeur.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Incidents passés similaires Incidents similaires extraits des CVE passées

CVE-2026-38361

DoS vulnerability in the same dash-uploader library, indicating potential for further exploits within the same ecosystem.

Si cela arrivait dans votre entreprise Impact attendu selon le scénario métier

📌 ECサイトのシステムにdash-uploaderが組み込まれている場合

攻撃者がシステムに不正なコードを注入し、顧客データが漏えいする可能性があります。

📌 社内のファイル共有サーバーにdash-uploaderが使用されている場合

社内業務のデータが削除されたり、不正にアクセスされるリスクが高まります。

📌 公的機関のデジタルインフラにdash-uploaderが導入されている場合

機密文書や機関データに不正アクセスが可能になり、社会的混乱が引き起こされる可能性があります。

Action recommandée

直ちにdash-uploaderの使用を中止し、Plotly Dashのddc.Uploadコンポーネントへの移行を検討することを強く推奨します。

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'path-traversal' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で path-traversal を grep し、稼働しているサービス・バージョンを把握する。
7
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

pip dash-uploader

[{"type":"ECOSYSTEM","events":[{"introduced":"0"}]}]

PyPI dash-uploader

[{"type":"ECOSYSTEM","events":[{"introduced":"0.1.0"},{"last_affected":"0.7.0a2"}]}]

Traversée de chemin dans path-traversal (CVE-2026-38360)