Piano LED Visualizer — это программное обеспечение, которое позволяет светодиодным индикаторам загораться, когда человек играет на пианино, подключенном к компьютеру. Версия 1.3 и более ранние версии уязвимы для атаки с обходом пути. Вызов os.path.join небезопасен для использования с ненадежным вводом. Когда вызов os.path.join обнаруживает абсолютный путь, он игнорирует все параметры, которые он обнаружил до этого момента, и начинает работать с новым абсолютным путем. Поскольку параметр «malicious» представляет собой абсолютный путь, результат os.path.join полностью игнорирует статический каталог. Следовательно, ненадежный ввод, передаваемый через вызов os.path.join в flask.send_file, может привести к атакам с обходом пути. Исправление с исправлением доступно в ветке master репозитория GitHub. Это также можно исправить, предотвратив передачу ненадежных данных в уязвимую функцию send_file. В случае, если логика приложения требует такого поведения, можно либо использовать flask.safe_join для объединения ненадежных путей, либо заменить вызовы flask.send_file вызовами flask.send_from_directory.