Уязвимость была обнаружена в Pallets Werkzeug до версии 0.15.4. Она объявлена критической. Эта уязвимость затрагивает функцию SharedDataMiddleware компонента Windows. Манипуляции с неизвестным входом приводят к уязвимости обхода каталогов. Определение CWE для этой уязвимости — CWE-22.
В Pallets Werkzeug до версии 0.15.5 SharedDataMiddleware некорректно обрабатывает имена дисков (например, C:) в путях Windows.
Некорректное ограничение пути к ограниченному каталогу ('Path Traversal')
Использование:
Этот скрипт считывает c:/windows/win.ini в качестве доказательства концепции
Скрипт предназначен только для анализа безопасности и исследований, поэтому я не несу ответственности, если он будет использован для незаконных действий.
faisalfs10x/cve-2019-14322-scanner
