CVE-2026-48099

Nome do Software Vulnerável e Versões Afetadas WsgiDAV versão 4.3.3

Descrição Existe um problema na função FilesystemProvider. loc to file path() onde a aplicação falha ao validar corretamente os limites do caminho ao usar um compartilhamento baseado em sistema de arquivos. O método utiliza os.path.abspath(os.path.join(root path, *path parts)) e verifica a contenção via file path.startswith(root path), o que permite que um caminho de requisição contendo um segmento de diretório pai codificado (como /%2e%2e/) escape da raiz do compartilhamento configurada. Isso ocorre se existir um caminho irmão que comece com a mesma string de caminho raiz e o processo possuir as permissões de SO necessárias. Isso pode permitir que requisições GET, PUT e DELETE não autorizadas operem em arquivos fora do diretório pretendido.

Recomendações Atualize o WsgiDAV para a versão 4.3.4.