CVE-2024-34069

Versões do Werkzeug anteriores à 3.0.3

O depurador nas versões afetadas do Werkzeug pode permitir que um invasor execute código na máquina de um desenvolvedor em determinadas circunstâncias. Para isso, o invasor precisa fazer com que o desenvolvedor interaja com um domínio e subdomínio sob seu controle e insira o PIN do depurador; no entanto, se for bem-sucedido, isso permite o acesso ao depurador mesmo que ele esteja sendo executado apenas no localhost. Isso também exige que o invasor adivinhe uma URL no aplicativo do desenvolvedor que acione o depurador.

Para versões anteriores à 3.0.3, atualize para a versão 3.0.3 para resolver o problema. Como solução temporária, considere restringir o acesso ao depurador ou desativá-lo até que a atualização seja aplicada. Evite usar o depurador em redes não confiáveis ou públicas e certifique-se de que o PIN do depurador não seja facilmente adivinhável.