CVE-2026-40035
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Unfurl do wersji 2025.08 zawiera podatność na nieprawidłową walidację danych wejściowych w parsowaniu konfiguracji, która domyślnie włącza tryb debugowania Flask. Wartość konfiguracji debugowania jest odczytywana jako ciąg znaków i przekazywana bezpośrednio do app.run(), co powoduje, że każdy niepusty ciąg znaków jest interpretowany jako prawda, umożliwiając atakującym dostęp do debuggera Werkzeug.
Ocena ryzyka
Atakujący może uzyskać dostęp do debuggera Werkzeug, co może prowadzić do ujawnienia wrażliwych informacji lub zdalnego wykonania kodu.
Rekomendacja
Zaktualizuj Unfurl do wersji nowszej niż 2025.08, która poprawnie waliduje konfigurację debugowania.
Oryginalny opis (angielski, źródło NVD)
Unfurl through 2025.08 contains an improper input validation vulnerability in config parsing that enables Flask debug mode by default. The debug configuration value is read as a string and passed directly to app.run(), causing any non-empty string to evaluate truthy, allowing attackers to access the Werkzeug debugger and disclose sensitive information or achieve remote code execution.