CVE-2024-23334
aiohttp.web.static(follow_symlinks=True) عرضة لثغرة اجتياز الدليل
- تم النشر
- 29/01/2024
- محدث
- 04/02/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 04/02/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.5%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
aiohttp هو إطار عمل HTTP غير متزامن للعميل/الخادم مبني على asyncio وPython. عند استخدام aiohttp كخادم ويب وتكوين المسارات الثابتة (static routes)، من الضروري تحديد المسار الجذري للملفات الثابتة. بالإضافة إلى ذلك، يمكن استخدام الخيار 'follow_symlinks' لتحديد ما إذا كان يجب اتباع الروابط الرمزية (symlinks) خارج الدليل الجذر الثابت. عندما يتم تعيين 'follow_symlinks' إلى True، لا يوجد أي تحقق للتحقق من أن قراءة ملف تكون ضمن الدليل الجذر. يمكن أن يؤدي هذا إلى ثغرات اجتياز الدلائل (directory traversal)، مما يؤدي إلى وصول غير مصرح به إلى ملفات عشوائية على النظام، حتى عندما لا تكون الروابط الرمزية موجودة. يُشجَّع على تعطيل follow_symlinks واستخدام وكيل عكسي (reverse proxy) كإجراءات تخفيف. يصلح الإصدار 3.9.2 هذه المشكلة.
المصادر
python/CVE-2024-23334
aiohttp Directory Traversal Vulnerability (CVE-2024-23334)
Vulhub vulnerability labsالشروط المعلنة
- lab image version: vulhub/aiohttp:3.9.1(python/CVE-2024-23334/docker-compose.yml:services.aiohttp-app.image)
http/cves/2024/CVE-2024-23334.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
إثبات مفهوم لثغرة اجتياز المسار في مكتبة Python AioHTTP الإصدار =< 3.9.1
Expolit لـ CVE-2024-23334 (aiohttp >= 1.0.5> && <=3.9.1)
يحتوي هذا المستودع على دليل مفهوم حول استغلال مكتبة aiohttp للثغرة المبلغ عنها CVE-2024-23334.
إثبات المفهوم لثغرة LFI في aiohttp 3.9.1
إثبات المفهوم لثغرة LFI/اجتياز المسار في Aiohttp =< 3.9.1
aiohttp LFI (CVE-2024-23334)
- CVE-2024-23334استغلال
نص استغلال لـ CVE-2024-23334، ثغرة اجتياز مسار الملفات الثابتة في aiohttp، مما يتيح اجتياز الدليل لقراءة ملفات عشوائية.
إثبات مفهوم اجتياز المسار في مكتبة AioHTTP للغة Python =< 3.9.1
هذا المستودع هو إثبات مفهوم (POC) لـ CVE-2024-23334، يوضح محاولة تكرار الخلل في aiohttp الذي يؤدي إلى تضمين ملف محلي (LFI).
- CVE-2024-23334استغلال
CVE-2024-23334
- CVE-2024-23334-PoCاستغلال
إثبات مفهوم آلي لاستغلال CVE-2024-23334، وهي ثغرة اجتياز المسار في aiohttp، مما يتيح اجتياز الدليل عن بُعد والوصول غير المصرح به إلى الملفات.
أداة استغلال آلية لـ CVE-2024-23334 تجمع النطاقات من certstream، وتتحقق من خوادم Python aiohttp الضعيفة، وترسل نتائج الاستغلال الناجحة إلى webhook في Discord.
نص برمجي Bash لأتمتة هجمات تضمين الملفات المحلية (LFI) على خادم aiohttp الإصدار 3.9.1.
إثبات مفهوم لثغرة اجتياز المسار في مكتبة AioHTTP الخاصة بلغة بايثون =< 3.9.1
Beatriz Fresno Naumova · python · 04/02/2026
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.