CVE-2026-44307

Wysokie

Opublikowano: 12/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Mako to biblioteka szablonów napisana w Pythonie. W wersjach przed 1.3.12, na systemie Windows, URI wykorzystujące przejście przez katalogi (np. \..\..\ secret.txt) omijało sprawdzenie przejścia katalogu w Template.__init__ oraz normalizację opartą na posixpath w TemplateLookup.get_template(), co pozwalało na odczyt plików poza skonfigurowanym katalogiem szablonów.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego dostępu do plików systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.

Rekomendacja

Zaleca się aktualizację biblioteki Mako do wersji 1.3.12 lub nowszej, aby usunąć tę podatność.

Inne podatności w Mako

CVE-2026-41205Wysokie
Mako to biblioteka szablonów napisana w Pythonie. W wersjach przed 1.3.11, metoda TemplateLookup.get_template() jest podatna na atak typu path traversal, gdy URI zaczyna się od //. Może to prowadzić do zwrócenia dowolnego pliku, który jest czytelny przez proces, jako zawartość szablonu.

Oryginalny opis (angielski, źródło NVD)

Mako is a template library written in Python. Prior to 1.3.12, on Windows, a URI using backslash traversal (e.g. \..\..\ secret.txt) bypasses the directory traversal check in Template.__init__ and the posixpath-based normalization in TemplateLookup.get_template(), allowing reads of files outside the configured template directory. This vulnerability is fixed in 1.3.12.