p PatchFirst

CVE-2025-27154

CVE-2025-27154 · Spotipy's cache file, containing spotify auth token, is created with overly broad permissions

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Spotipy is a lightweight Python library for the Spotify Web API. The `CacheHandler` class creates a cache file to store the auth token. Prior to version 2.25.1, the file created has `rw-r--r--` (644) permissions by default, when it could be locked down to `rw-------` (600) permissions. This leads to overly broad exposure of the spotify auth token. If this token can be read by an attacker (another user on the machine, or a process running as another user), it can be used to perform administrative actions on the Spotify account, depending on the scope granted to the token. Version 2.25.1 tightens the cache file permissions.

CVSS 8.4 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • spotipy

    Версии
    • < 2.25.1: Затронуто

    Нет опубликованного исправления

  • spotipy Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.25.1-1

    Обновитесь до 2.25.1-1

  • spotipy Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.25.1-1

    Обновитесь до 2.25.1-1

  • spotipy PyPI

    Версии
    • 0.1
    • 0.2
    • 2.0.1
    • 2.0.2
    • 2.1.0
    • 2.10.0
    • 2.11.0
    • 2.11.1
    • 2.11.2
    • 2.12.0
    • 2.13.0
    • 2.14.0
    • 2.15.0
    • 2.16.0
    • 2.16.1
    • 2.17.0
    • 2.17.1
    • 2.18.0
    • 2.19.0
    • 2.19.0rc1
    • 2.2.0
    • 2.20.0
    • 2.21.0
    • 2.22.0
    • 2.22.1
    • 2.23.0
    • 2.24.0
    • 2.25.0
    • 2.3.0
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.7.0
    • 2.7.1
    • 2.8.0
    • 2.9.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.25.1

    Обновитесь до 2.25.1

  • spotipy Ubuntu:25.10

    Версии
    • 2.25.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • spotipy Ubuntu:26.10

    Версии
    • 2.25.2-1
    • 2.26.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • spotipy Ubuntu:26.04:LTS

    Версии
    • 2.25.1-1
    • 2.25.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →