Web2py versions 2.14.5 and below was affected by Local File Inclusion vulnerability, which allows a malicious intended user to read/access w

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• web2py web2pyдо 2.14.5 включительно

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-45158An OS command injection vulnerability exists in web2py 2.24.1 and earlier.
  40В плане
• CVE-2016-3957The secure_load function in gluon/utils.py in web2py before 2.14.2 uses pickle.loads to deserialize session information stored in cookies, w
  40В плане
• CVE-2016-3953The sample web application in web2py before 2.14.2 might allow remote attackers to execute arbitrary code via vectors involving use of a har
  40В плане
• CVE-2016-10321web2py before 2.14.6 does not properly check if a host is denied before verifying passwords, allowing a remote attacker to perform brute-for
  40В плане
• CVE-2016-4808Web2py versions 2.14.5 and below was affected by CSRF (Cross Site Request Forgery) vulnerability, which allows an attacker to trick a logged
  36Наблюдать
• CVE-2016-3952web2py before 2.14.1, when using the standalone version, allows remote attackers to obtain environment variable values via a direct request
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.