CVE-2026-108258

Nome do Software Vulnerável e Versões Afetadas Shiny for Python versões 1.4.0 through 1.6.3

Description O processo de restauração de favoritos aceita um valor de string de consulta state id fornecido pelo cliente e o anexa ao diretório de favoritos do servidor sem a validação adequada. Uma requisição não autenticada pode usar caminhos absolutos ou segmentos de diretório pai (path traversal) para forçar o servidor a abrir e analisar os arquivos input.json e values.json de diretórios fora do armazenamento de favoritos pretendido. Isso ocorre mesmo se o bookmark store estiver configurado como disable. Em aplicações onde o bookmark store está definido como server e a função ui.input file() é utilizada, o manipulador de restauração pode copiar e expor o conteúdo de um arquivo selecionado por um invasor em um diretório também selecionado pelo invasor.

Recommendations Atualize o Shiny for Python para a versão 1.6.4. Como medida de mitigação temporária, remova o parâmetro state id das strings de consulta recebidas em um proxy reverso ou balanceador de carga.