Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en recursos privados en Flask-CORS (CVE-2020-25032)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
31/08/2020
Última modificación:
28/04/2022

Descripción

Se detectó un problema en Flask-CORS (también se conoce como CORS Middleware para Flask) versiones anteriores a 3.0.9. Permite que un salto de directorios ../ acceda a recursos privados porque la coincidencia de recursos no garantiza que los nombres de ruta estén en un formato canónico

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:flask-cors_project:flask-cors:*:*:*:*:*:*:*:* 3.0.9 (excluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:a:opensuse:backports_sle:15.0:sp1:*:*:*:*:*:*
cpe:2.3:a:opensuse:backports_sle:15.0:sp2:*:*:*:*:*:*
cpe:2.3:o:opensuse:leap:15.1:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:leap:15.2:*:*:*:*:*:*:*