CVE-2024-23334
aiohttp.web.static(follow_symlinks=True) es vulnerable a directory traversal.
- Publicado
- 29 ene 2024
- Actualizado
- 4 feb 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 4 feb 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAlto · próximos 30 días
- Percentil
- 99,5 %
- Fecha del modelo
- 19 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Cuando se utiliza aiohttp como servidor web y se configuran rutas estáticas, es necesario especificar la ruta raíz para los archivos estáticos. Además, la opción 'follow_symlinks' se puede utilizar para determinar si se deben seguir enlaces simbólicos fuera del directorio raíz estático. Cuando 'follow_symlinks' se establece en Verdadero, no hay validación para verificar si la lectura de un archivo está dentro del directorio raíz. Esto puede generar vulnerabilidades de directory traversal, lo que resulta en acceso no autorizado a archivos arbitrarios en el sistema, incluso cuando no hay enlaces simbólicos presentes. Se recomiendan como mitigaciones deshabilitar follow_symlinks y usar un proxy inverso. La versión 3.9.2 soluciona este problema.
Fuentes
- aiohttp Directory Traversal VulnerabilityLaboratorio
python/CVE-2024-23334
aiohttp Directory Traversal Vulnerability (CVE-2024-23334)
Vulhub vulnerability labsCondiciones declaradas
- lab image version: vulhub/aiohttp:3.9.1(python/CVE-2024-23334/docker-compose.yml:services.aiohttp-app.image)
- aiohttp - Directory TraversalPlantilla
http/cves/2024/CVE-2024-23334.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.