Podatności web.py

webpy web.py 0.76 jest podatny na niewystarczające wygasanie sesji. Zarządzanie sesjami aplikacji opiera się na okresowym czyszczeniu w celu wygaszenia sesji zamiast sprawdzania czasu ostatniego dostępu podczas ładowania sesji. W rezultacie wygasła sesja, której rekord nie został jeszcze wyczyszczony, może być nadal odtwarzana i używana, co pozwala atakującemu posiadającemu wcześniej ważny cookie sesji na dalszy dostęp do chronionych zasobów po skonfigurowanym czasie bezczynności.

Biblioteka web.py w wersji 0.76 jest podatna na wstrzyknięcie szablonów po stronie serwera (SSTI). Gdy aplikacja prekompiluje szablony z katalogu, do którego atakujący ma prawo zapisu, a następnie renderuje je przez loader prekompilowanych szablonów, mechanizm sandbox zostaje obejściu, co prowadzi do wykonania dowolnego kodu Pythona i poleceń systemowych na serwerze.

webpy web.py 0.76 jest podatny na Session Fixation. Komponent Session._load() odczytuje session_id bezpośrednio z ciasteczka żądania i ładuje tę sesję z magazynu, a _save() zapisuje z powrotem pod tym samym session_id; nie ma rotacji po uwierzytelnieniu, więc ustalony session_id zachowuje stan uwierzytelnienia.

webpy web.py 0.76 jest podatny na Cross Site Scripting (XSS) poprzez render_jinja.__init__().