CVE-2023-46136
Açıklama
Werkzeug kapsamlı bir WSGI web uygulama kütüphanesidir. 3.x dalının 3.0.1'den önceki sürümlerinde ve 2.x dalının 2.3.8'den önceki sürümlerinde, CR veya LF ile başlayan ve ardından bu karakterleri içermeyen megabaytlarca veriyle devam eden bir dosya yüklendiğinde; tüm bu baytlar dahili bytearray'e parça parça eklenir ve sınır araması büyüyen tampon üzerinde gerçekleştirilir. Bu durum, bir saldırganın veriyi ayrıştıracak bir uç noktaya özel olarak hazırlanmış multipart verileri göndererek hizmet reddi (DoS) oluşturmasına olanak tanır. Gereken CPU süresi, çalışan süreçlerin meşru istekleri işlemesini engelleyebilir. Bu güvenlik açığı 3.0.1 ve 2.3.8 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- palletsprojects werkzeug2.3.8 ya da sonraki bir sürüm
- werkzeug3.0.1, 2.3.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| palletsprojects werkzeug | v < 2.3.8, 3.0.0 | 2.3.8 |
| werkzeugPyPI | 3.0.0 ≤ v < 3.0.1, 2.0.0rc1 ≤ v < 2.3.8, v < 2.3.8 | 3.0.1, 2.3.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.