CVE-2026-39847
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Emmett, framework webowy w Pythonie, w wersjach od 2.5.0 do 2.8.0 zawiera podatność na path traversal w statycznym handlerze RSGI dla wewnętrznych zasobów (/__emmett__). Atakujący może użyć sekwencji ../ (np. /__emmett__/../rsgi/handlers.py) do odczytu dowolnych plików poza katalogiem zasobów.
Ocena ryzyka
Podatność umożliwia odczyt poufnych plików systemowych lub kodu źródłowego aplikacji, co może prowadzić do ujawnienia danych lub dalszych ataków.
Rekomendacja
Zaktualizuj Emmett do wersji 2.8.1, która zawiera poprawkę eliminującą podatność na path traversal.
Oryginalny opis (angielski, źródło NVD)
Emmett is a full-stack Python web framework designed with simplicity. From 2.5.0 to before 2.8.1, the RSGI static handler for Emmett's internal assets (/__emmett__ paths) is vulnerable to path traversal attacks. An attacker can use ../ sequences (eg /__emmett__/../rsgi/handlers.py) to read arbitrary files outside the assets directory. This vulnerability is fixed in 2.8.1.