p PatchFirst

CVE-2022-23531

CVE-2022-23531 · Arbitrary file write when scanning a specially-crafted local PyPI package

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

GuardDog is a CLI tool to identify malicious PyPI packages. Versions prior to 0.1.5 are vulnerable to Relative Path Traversal when scanning a specially-crafted local PyPI package. Running GuardDog against a specially-crafted package can allow an attacker to write an arbitrary file on the machine where GuardDog is executed due to a path traversal vulnerability when extracting the .tar.gz file of the package being scanned, which exists by design in the tarfile.TarFile.extractall function. This issue is patched in version 0.1.5.

CVSS 5.8 · Средний · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • guarddog

    Версии
    • < 0.1.5: Затронуто

    Нет опубликованного исправления

  • guarddog PyPI

    Версии
    • 0.1.1
    • 0.1.3
    • 0.1.4
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.1.5

    Обновитесь до 0.1.5

  • guarddog PyPI

    Версии
    • 0.1.1
    • 0.1.3
    • 0.1.4
    Затронутые диапазоны версий
    • GIT: < a56aff58264cb6b7855d71b00dc10c39a5dbd306
    • ECOSYSTEM: < 0.1.5

    Обновитесь до 0.1.5

Первоисточники

Проверьте свой сервер →