Vulnerabilidad en Streamlit (CVE-2024-42474)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

12/08/2024

Última modificación:

16/09/2024

Descripción

Streamlit es un framework de desarrollo de aplicaciones orientado a datos para Python. El código abierto Snowflake Streamlit solucionó una vulnerabilidad de seguridad mediante la función de intercambio de archivos estáticos. Los usuarios de aplicaciones Streamlit alojadas en Windows eran vulnerables a una vulnerabilidad de Path Traversal cuando la función para compartir archivos estáticos estaba habilitada. Un atacante podría utilizar la vulnerabilidad para filtrar el hash de la contraseña del usuario de Windows que ejecuta Streamlit. La vulnerabilidad se corrigió el 25 de julio de 2024, como parte de la versión 1.37.0 de código abierto de Streamlit. La vulnerabilidad sólo afecta a Windows.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno