Werkzeug
Уязвимости
14
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.55526
Распределение по критичности
Критический
1
Высокий
6
Средний
6
Низкий
1
Затронутые диапазоны версий
< 0.11.11< 0.11.6< 0.15.3< 0.15.5< 2.2.3< 2.3.8< 3.0.3< 3.0.6< 3.1.4< 3.1.5< 3.1.6≤ 2.1.0
Также сопоставлено как (исходные строки): werkzeug,quart
Топ уязвимостей
CVE-2022-29361Неправильный синтаксический анализ HTTP-запросов в Pallets Werkzeug v2.1.0 и ниже позволяет злоумышленникам выполнять контрабанду HTTP-запросов, используя специально созданный HTTP-запрос с несколькими запросами, включенными в тело. ПРИМЕЧАНИЕ: позиция поставщика заключается в том, что это поведение может происходить только в неподдерживаемых конфигурациях, включающих режим разработки и HTTP-сервер извне проекта Werkzeug.
CVE-2024-34069Werkzeug — это обширная библиотека веб-приложений WSGI. Отладчик в затронутых версиях Werkzeug может позволить злоумышленнику выполнять код на машине разработчика при определённых обстоятельствах. Для этого требуется, чтобы злоумышленник заставил разработчика взаимодействовать с доменом и поддоменом, которые он контролирует, и ввести PIN отладчика, но если ему это удастся, это позволит получить доступ к отладчику, даже если он работает только на localhost. Это также требует, чтобы злоумышленник угадал URL в приложении разработчика, который вызовет отладчик. Эта уязвимость исправлена в 3.0.3.
CVE-2023-46136Werkzeug - это комплексная библиотека веб-приложений WSGI. Если загружается файл, начинающийся с CR или LF, а затем следует мегабайты данных без этих символов: все эти байты по очереди добавляются в внутренний массив байтов, и поиск границы выполняется на растущем буфере. Это позволяет злоумышленнику вызвать отказ в обслуживании, отправив специально подготовленные многочастные данные на конечную точку, которая будет их разбирать. Количество требуемых ресурсов ЦП может блокировать рабочие процессы от обработки легитимных запросов. Эта уязвимость была исправлена в версии 3.0.1.
CVE-2023-25577Werkzeug - это обширная библиотека веб-приложений WSGI. До версии 2.2.3 парсер многокомпонентных форм Werkzeug будет разбирать неограниченное количество частей, включая части файлов. Части могут быть небольшой величины, но каждая требует времени процессора для разбора и может использовать больше памяти как данные Python. Если можно сделать запрос к конечной точке, которая обращается к `request.data`, `request.form`, `request.files` или `request.get_data(parse_form_data=False)`, это может привести к неожиданно высокому использованию ресурсов. Это позволяет злоумышленнику вызвать отказ в обслуживании, отправляя злонамеренные многокомпонентные данные на конечную точку, которая будет их разбирать. Количество времени процессора, требуемого для разбора, может заблокировать рабочие процессы от обработки легитимных запросов. Количество ОЗУ, необходимое для этого, может вызвать убийство процесса при нехватке памяти. Неограниченные части файлов могут использовать память и файловые дескрипторы. Если будет отправлено много одновременных запросов быстро, это может исчерпать или убить все доступные рабочие процессы. В версии 2.2.3 содержится патч для этой проблемы.
CVE-2019-14806Pallets Werkzeug до версии 0.15.3, при использовании с Docker, имеет недостаточную случайность PIN-кода отладчика, поскольку контейнеры Docker используют один и тот же идентификатор машины.
CVE-2019-14322В Pallets Werkzeug до версии 0.15.5 SharedDataMiddleware неправильно обрабатывает имена дисков (например, C:) в именах путей Windows.
CVE-2016-10516Уязвимость межсайтового скриптинга (XSS) в функции render_full в debug/tbtools.py в отладчике в Pallets Werkzeug до версии 0.11.11 (как используется в Pallets Flask и других продуктах) позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через поле, содержащее сообщение об исключении.
CVE-2024-49767Werkzeug - это библиотека веб-приложений Web Server Gateway Interface. Приложения, использующие `werkzeug.formparser.MultiPartParser`, соответствующие версии Werkzeug до 3.0.6, для анализа запросов `multipart/form-data` (например, все приложения flask), уязвимы для относительно простой, но эффективной атаки типа "отказ в обслуживании" (denial of service) из-за исчерпания ресурсов. Специально созданный запрос на отправку формы может привести к тому, что анализатор выделит и заблокирует в основной памяти в 3–8 раз больше размера загрузки. Верхнего предела нет; одна загрузка со скоростью 1 Гбит/с может исчерпать 32 ГБ ОЗУ менее чем за 60 секунд. Werkzeug версии 3.0.6 исправляет эту проблему.
CVE-2026-27199Werkzeug - это всеобъемлющая библиотека веб-приложений WSGI. Версии 3.1.5 и ниже функция safe_join позволяет Windows имен устройств в виде имен файлов, если им предшествуют другие сегменты пути. Ранее сообщалось как GHSA-hgf8-39gv-g3f2, но добавленная фильтрация не учитывала тот факт, что safe_join принимает пути с несколькими сегментами, такими как пример/NUL. Функция send_from_directory использует safe_join для безопасного обслуживания файлов в пользовательских путях в каталоге. Если приложение работает в Windows, а запрашиваемый путь заканчивается специальным именем устройства, файл будет успешно открыт, но чтение будет висеть бесконечно. Эта проблема была исправлена в версии 3.1.6.
CVE-2026-21860Werkzeug - это всеобъемлющая библиотека веб-приложений WSGI. До версии 3.1.5 функция Safe_join Werkzeug позволяет проводить сегменты пути с именами устройств Windows, которые имеют расширения файлов или пробелы. В Windows есть специальные имена устройств, такие как CON, AUX и т. Д., Которые неявно присутствуют и читаемы в каждом каталоге. Windows по-прежнему принимает их с любым расширением файла, таким как CON.txt, или задними пространствами, такими как CON. Этот вопрос был исправлен в версии 3.1.5.
CVE-2025-66221Werkzeug - это всеобъемлющая библиотека веб-приложений WSGI. До версии 3.1.4 функция Safe_join Werkzeug позволяет проводить сегменты пути с названиями устройств Windows. В Windows есть специальные имена устройств, такие как CON, AUX и т. Д., Которые неявно присутствуют и читаемы в каждом каталоге. send_from_directory использует safe_join для безопасного обслуживания файлов в соответствии с сайтом. Если приложение работает на Windows, а запрашиваемый путь заканчивается специальным именем устройства, файл будет успешно открыт, но чтение будет висеть бесконечно. Эта проблема была исправлена в версии 3.1.4.
CVE-2024-49766Werkzeug - это библиотека веб-приложений Web Server Gateway Interface. В Python < 3.11 в Windows os.path.isabs() не перехватывает UNC-пути, такие как //server/share. safe_join() Werkzeug опирается на эту проверку и, следовательно, может создавать небезопасный путь, потенциально позволяя несанкционированный доступ к данным. Приложения, использующие Python >= 3.11 или не использующие Windows, не уязвимы. Werkzeug версии 3.0.6 содержит исправление.
CVE-2020-28724Уязвимость открытого перенаправления в werkzeug до версии 0.11.6 через двойной слеш в URL.
CVE-2023-23934Werkzeug — это комплексная библиотека веб-приложений WSGI. Браузеры могут позволять "безымянные" файлы cookie, которые выглядят как `=value` вместо `key=value`. Уязвимый браузер может позволить скомпрометированному приложению на соседнем подсайте использовать это, чтобы установить cookie вида `=__Host-test=bad` для другого подсайта. Werkzeug до версии 2.2.3 будет интерпретировать cookie `=__Host-test=bad` как __Host-test=bad`. Если приложение Werkzeug работает рядом с уязвимым или вредоносным подсайтом, который устанавливает такой cookie с использованием уязвимого браузера, приложение Werkzeug увидит значение плохого cookie, но действительный ключ cookie. Проблема исправлена в Werkzeug 2.2.3.