Weasyprint یک کتابخانه منبع باز پایتون و ابزار خط فرمان است که به توسعه‌دهندگان وب کمک می‌کند که اسناد PDF را به راحتی ایجاد کنند. به تازگی آسیب‌پذیری با شدت بالا (7.4) با شناسه‌ی CVE-2024-28184 در این نرم‌افزار کشف شده است. این آسیب‌پذیری به گونه ای است که حتی اگر `url_fetcher` طوری تنظیم شده باشد که از دسترسی به فایل‌ها و URLها جلوگیری کند باز هم به مهاجم اجازه پیوست فایل‌ها و URLهای دلخواه را می‌دهد.
بر اساس بردار حمله این آسیب‌پذیری (AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L) بهره‌برداری از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) ، نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست (AC:L) ، مهاجم برای انجام حمله نیاز به حساب کاربری با سطح دسترسی پایین دارد (PR:L) ، به تعامل با کاربر نیز نیاز ندارد (UI:N) ، بهره‌برداری از نقص امنیتی مذکور بر سایر منابع امنیتی تأثیر می‌گذارد (S:U) با سوء‌استفاده از این آسیب‌پذیری، هر سه ضلع امنیت با شدت پایینی تحت تأثیر قرار می‌گیرند.
محصولات تحت تأثیر
تمام نسخه‌های قبل از نسخه 61.0 نرم‌افزار Weasyprint در برابر نقص امنیتی مذکور، آسیب‌پذیر هستند.
توصیه‌های امنیتی
لازم است که تمام کاربران، هرچه سریع‌تر محصول خود را به نسخه 61.2 یا بالاتر ارتقاء دهند.
منبع خبر:
- 40