PT-2022-1453
CVE-2022-22815
·
Publicado
2022-01-07
·
Atualizado
2024-06-13
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Pillow anteriores à 9.0.0
Descrição
O problema está relacionado à função
path getbbox no arquivo path.c do Pillow, que inicializa incorretamente ImagePath.Path. Isso pode ser explorado por um invasor remoto para acessar arquivos arbitrários no sistema, enviando uma solicitação HTTP especialmente criada. A vulnerabilidade está associada a uma restrição incorreta do caminho para o diretório.Recomendações
Para versões anteriores à 9.0.0, atualize para a versão 9.0.0 ou posterior para resolver o problema.
Como solução temporária, considere restringir o acesso à função
path getbbox em path.c até que um patch esteja disponível.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾