p PatchFirst

CVE-2026-27641

CVE-2026-27641 · Flask-Reuploaded vulnerable to Remote Code Execution via Server-Side Template Injection

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flask-Reuploaded provides file uploads for Flask. A critical path traversal and extension bypass vulnerability in versions prior to 1.5.0 allows remote attackers to achieve arbitrary file write and remote code execution through Server-Side Template Injection (SSTI). Flask-Reuploaded has been patched in version 1.5.0. Some workarounds are available. Do not pass user input to the `name` parameter, use auto-generated filenames only, and implement strict input validation if `name` must be used.

CVSS 9.8 · Критический · EPSS 1,3% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • flask-reuploaded

    Версии
    • < 1.5.0: Затронуто

    Нет опубликованного исправления

  • flask-reuploaded PyPI

    Версии
    • 0.3
    • 0.3.1
    • 0.3.2
    • 0.4.0
    • 0.5.0
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.4.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.5.0

    Обновитесь до 1.5.0

Первоисточники

Проверьте свой сервер →