CVE-2026-40258

Kritik

Açıklama

Gramps Web API, soyağacı araştırma yazılımı Gramps için geliştirilmiş bir Python REST API'sidir. 1.6.0 ile 3.11.0 arasındaki sürümlerde, medya arşivi içe aktarma özelliğinde bir dizinlemesine geçiş (path traversal - Zip Slip) zafiyeti bulunmaktadır. Sahip düzeyinde yetkilere sahip kimliği doğrulanmış bir kullanıcı, sunucunun yerel dosya sisteminde hedeflenen geçici çıkarma dizininin dışına rastgele dosyalar yazmak için dizin geçişli dosya adları içeren kötü amaçlı bir ZIP dosyası oluşturabilir. Sürüm 3.11.1'den itibaren, ZIP giriş isimleri artık çıkarmadan önce geçici dizinin çözümlenmiş gerçek yoluna göre doğrulanmaktadır. Çözümlenmiş yolu geçici dizinin dışında kalan herhangi bir giriş hata verir ve içe aktarma işlemini durdurur.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünGramps-webapi

Yayın17 Nis 2026

İlk görülme17 Nis 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

gramps-webapi3.11.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
gramps-webapiPyPI	1.6.0 ≤ v < 3.11.1	3.11.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.