CVE-2026-41205

Wysokie

Opublikowano: 23/04/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Mako to biblioteka szablonów napisana w Pythonie. W wersjach przed 1.3.11, metoda TemplateLookup.get_template() jest podatna na atak typu path traversal, gdy URI zaczyna się od //. Może to prowadzić do zwrócenia dowolnego pliku, który jest czytelny przez proces, jako zawartość szablonu.

Ocena ryzyka

Organizacje mogą być narażone na ujawnienie poufnych danych, jeśli aplikacje przekazują niezweryfikowane dane wejściowe do TemplateLookup.get_template().

Rekomendacja

Zaleca się aktualizację biblioteki Mako do wersji 1.3.11 lub nowszej, aby usunąć tę podatność.

Inne podatności w Mako

CVE-2026-44307Wysokie
Mako to biblioteka szablonów napisana w Pythonie. W wersjach przed 1.3.12, na systemie Windows, URI wykorzystujące przejście przez katalogi (np. \..\..\ secret.txt) omijało sprawdzenie przejścia katalogu w Template.__init__ oraz normalizację opartą na posixpath w TemplateLookup.get_template(), co pozwalało na odczyt plików poza skonfigurowanym katalogiem szablonów.

Oryginalny opis (angielski, źródło NVD)

Mako is a template library written in Python. Prior to 1.3.11, TemplateLookup.get_template() is vulnerable to path traversal when a URI starts with // (e.g., //../../../secret.txt). The root cause is an inconsistency between two slash-stripping implementations. Any file readable by the process can be returned as rendered template content when an application passes untrusted input directly to TemplateLookup.get_template(). This vulnerability is fixed in 1.3.11.