CVE-2026-24486

WysokieCVSS 8.6

Opublikowano: 27/01/2026(UTC)Zaktualizowano: 07/08/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.23%

Percentyl 81 - wyżej niż 81% wszystkich znanych CVE

Streszczenie

Biblioteka Python-Multipart przed wersją 0.0.22 zawiera podatność na Path Traversal przy użyciu niestandardowych opcji konfiguracyjnych UPLOAD_DIR i UPLOAD_KEEP_FILENAME=True. Atakujący może zapisać przesłane pliki w dowolnej lokalizacji w systemie plików poprzez spreparowaną nazwę pliku.

Ocena ryzyka

Organizacja jest narażona na zapis złośliwych plików w newralgicznych lokalizacjach, co może prowadzić do wykonania kodu, eskalacji uprawnień lub uszkodzenia systemu.

Rekomendacja

Należy zaktualizować Python-Multipart do wersji 0.0.22 lub nowszej. Jako tymczasowe rozwiązanie, nie używaj opcji UPLOAD_KEEP_FILENAME=True w konfiguracji projektu.

Inne podatności w Python-Multipart

CVE-2026-42561Wysokie
Python-Multipart przed wersją 0.0.27 nie ograniczał liczby ani rozmiaru nagłówków części multipart/form-data. Atakujący może wysłać żądanie z wieloma powtarzającymi się nagłówkami lub pojedynczym bardzo dużym nagłówkiem, powodując nadmierne obciążenie CPU i odmowę usługi.

Oryginalny opis (angielski, źródło NVD)

Python-Multipart is a streaming multipart parser for Python. Prior to version 0.0.22, a Path Traversal vulnerability exists when using non-default configuration options `UPLOAD_DIR` and `UPLOAD_KEEP_FILENAME=True`. An attacker can write uploaded files to arbitrary locations on the filesystem by crafting a malicious filename. Users should upgrade to version 0.0.22 to receive a patch or, as a workaround, avoid using `UPLOAD_KEEP_FILENAME=True` in project configurations.