CVE-2026-44307

Nome do Software Vulnerável e Versões Afetadas Mako (versões afetadas não especificadas)

Descrição No Windows, existe um problema de travessia de caminho onde URIs que utilizam travessia de barra invertida (ex: ....secret.txt) podem burlar as verificações de travessia de diretório em Template. init e a normalização em TemplateLookup.get template(). Isso ocorre devido a uma incompatibilidade entre o posixpath, que trata barras invertidas como caracteres literais, e o os.path (especificamente ntpath no Windows), que as trata como separadores de caminho. Um invasor pode explorar isso ao passar nomes de templates ou caminhos de inclusão controlados pelo usuário para a função get template(), potencialmente levando à divulgação de arquivos fora do diretório de templates configurado. Se o arquivo acessado contiver sintaxe de template Mako ou Python, ele poderá ser analisado e executado.

Recomendações Normalize as barras invertidas para barras normais no início do pipeline de processamento de URI, antes de qualquer operação de caminho, para garantir um comportamento consistente entre as plataformas.