CVE-2022-24900

Piano LED Visualizer versões 1.3 e anteriores

A vulnerabilidade diz respeito a um ataque de traversal de caminho. A chamada os.path.join não é segura para uso com entradas não confiáveis, pois ignora todos os parâmetros encontrados antes de um caminho absoluto e começa a operar com o novo caminho absoluto. Isso permite que entradas não confiáveis sejam passadas para flask.send file, levando a ataques de traversal de caminho. Um patch com a correção está disponível no branch master do repositório GitHub.

Para as versões 1.3 e anteriores, atualize para a versão corrigida disponível no branch master do repositório GitHub.

Como solução temporária, considere impedir o fluxo de dados não confiáveis para a função send file vulnerável.

Como alternativa, use flask.safe join para unir caminhos não confiáveis ou substitua as chamadas flask.send file por chamadas flask.send from directory para corrigir o problema.