p PatchFirst

CVE-2024-40627

CVE-2024-40627 · OpaMiddleware does not filter HTTP OPTIONS requests

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Fastapi OPA is an opensource fastapi middleware which includes auth flow. HTTP `OPTIONS` requests are always allowed by `OpaMiddleware`, even when they lack authentication, and are passed through directly to the application. `OpaMiddleware` allows all HTTP `OPTIONS` requests without evaluating it against any policy. If an application provides different responses to HTTP `OPTIONS` requests based on an entity existing (such as to indicate whether an entity is writable on a system level), an unauthenticated attacker could discover which entities exist within an application. This issue has been addressed in release version 2.0.1. All users are advised to upgrade. There are no known workarounds for this vulnerability.

CVSS 5.8 · Средний · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • fastapi-opa

    Версии
    • < 2.0.1: Затронуто

    Нет опубликованного исправления

  • fastapi-opa PyPI

    Версии
    • 0.1.0
    • 0.1.1
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.3.7
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.4.3
    • 1.4.4
    • 1.4.5
    • 1.4.7
    • 1.4.8
    • 2.0.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.0.1

    Обновитесь до 2.0.1

  • fastapi Ubuntu:22.04:LTS

    Версии
    • 0.63.0-2
    • 0.63.0-2ubuntu0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • fastapi Ubuntu:24.04:LTS

    Версии
    • 0.101.0-1
    • 0.101.0-2
    • 0.101.0-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • fastapi Ubuntu:25.10

    Версии
    • 0.115.11-3
    • 0.115.11-4ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • fastapi Ubuntu:26.10

    Версии
    • 0.118.0-1
    • 0.135.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • fastapi Ubuntu:26.04:LTS

    Версии
    • 0.115.11-4ubuntu1
    • 0.118.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →