CVE-2025-27154
Təsvir
Spotipy, Spotify Web API üçün yüngül Python kitabxanasıdır. `CacheHandler` sinfi autentifikasiya tokenini saxlamaq üçün keş faylı yaradır. Versiya 2.25.1-dən əvvəl, yaradılan fayl standart olaraq `rw-r--r--` (644) icazələrinə malik olur, halbuki bu icazələr `rw-------` (600) səviyyəsinə qədər məhdudlaşdırıla bilərdi. Bu, spotify autentifikasiya tokeninin həddindən artıq geniş şəkildə açıqlanmasına gətirib çıxarır. Əgər bu token hücumçu tərəfindən (maşındakı digər istifadəçi və ya başqa istifadəçi kimi işləyən proses) oxuna bilsə, tokenə verilmiş icazə dairəsindən asılı olaraq, Spotify hesabında inzibati hərəkətləri yerinə yetirmək üçün istifadə edilə bilər. Versiya 2.25.1 keş faylının icazələrini daha da məhdudlaşdırır.
Necə düzəltmək olar
- spotipy_project spotipy2.25.1 və ya daha yeni versiya
- spotipy2.25.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| spotipy_project spotipy | v < 2.25.1 | 2.25.1 |
| spotipyPyPI | v < 2.25.1 | 2.25.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.