web2py remote code execution via hardcoded encryption key in session.connect function

緊急 9.8CVE-2016-3953 · GHSA-q2rq-qgcf-m22w · PYSEC-2026-570 · 06/02/2018 公開 · 17/06/2026 更新

パッケージ	影響を受けるバージョン	修正済みバージョン
web2py PyPI	`< 2.14.2`	`2.14.2`
web2py web2py	`< 2.14.2`	`2.14.2`

概要

The sample web application in web2py before 2.14.2 might allow remote attackers to execute arbitrary code via vectors involving use of a hardcoded encryption key when calling the session.connect function.

NVD の説明

参考情報

nvd.nist.gov/vuln/detail/CVE-2016-3953 · ADVISORY
web2py/web2py · WEB
web2py/web2py commit 9706d12 · WEB
devco.re/blog/2017/01/03/web2py-unserialize-code-execution-CVE-2016-3957 · WEB
web2py/web2py · PACKAGE
web2py/web2py · WEB
usn.ubuntu.com/4030-1 · WEB
devco.re/blog/2017/01/03/web2py-unserialize-code-execution-CVE-2016-3957 · Exploit
usn.ubuntu.com/4030-1
pypi.org/project/web2py · PACKAGE
GitHub Advisory GHSA-q2rq-qgcf-m22w · ADVISORY

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン