Python Seite 3

Die Python-Engine für die Liquid-Template-Sprache schützt vor Version 2.2.0 in den eingebauten Loadern FileSystemLoader und CachingFileSystemLoader nicht gegen das Lesen von Dateien ausserhalb des konfigurierten Suchpfads. Dies ermöglicht einen Path-Traversal-Angriff. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

pymanager fügt das aktuelle Arbeitsverzeichnis in sys.path ein, wodurch Module durch gleichnamige Module im Arbeitsverzeichnis überlagert werden können. Führt ein Benutzer einen von pymanager erzeugten Befehl aus, können so lokale, möglicherweise schadhafte Module anstelle der legitimen Bibliotheken geladen werden. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

fsspec ist ein Framework für Dateisystem-Schnittstellen in Python. Laut NVD wertet fsspec.implementations.reference.ReferenceFileSystem von Version 0.9.0 bis vor 2026.6.0 Felder aus Kerchunk-Referenzen aus (Beschreibung in der Quelle gekürzt). CVSS-Basiswert: 8.8 (Hoch). Eine Aufnahme in die CISA-KEV-Liste liegt nicht vor, ein EPSS-Wert ist nicht verfügbar. Betroffen sind laut den genannten Versionsangaben fsspec-Versionen ab 0.9.0 und vor 2026.6.0.

In den Python-, Go-, PHP- und Java-Bindings von Apache Thrift besteht eine Schwachstelle durch eine Schleife mit nicht erreichbarer Abbruchbedingung (Infinite Loop). Betroffen sind Versionen vor 0.24.0. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Apache Thrift 0.24.0 oder neuer.

Die Sprachbindings von Apache Thrift (C++, Java, Python, Go, D, C/GLib) behandeln stark komprimierte Daten unsachgemäss, was zu einer Data-Amplification-Schwachstelle führt: Ein kleines komprimiertes Paket kann beim Dekomprimieren unverhältnismässig viel Speicher oder Rechenzeit binden. Betroffen sind Apache-Thrift-Versionen vor 0.24.0. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Apache Thrift 0.24.0 oder neuer aktualisieren.

Das MCP Python SDK (PyPI-Paket „mcp“), eine Python-Implementierung des Model Context Protocol, enthält in den Versionen ab 1.23.0 bis 1.27.2 eine Schwachstelle in den Standard-Handlern, die von server.experimental.enable_tasks() installiert werden. Ein authentifizierter, entfernter Angreifer kann sie über das Netzwerk mit niedrigen Privilegien ausnutzen; im Vordergrund steht ein Verlust der Vertraulichkeit. CVSS-Basiswert: 7.6 (Hoch).

Das MCP Python SDK (auf PyPI als mcp veröffentlicht) ist eine Python-Implementierung des Model Context Protocol. Laut NVD sind in Versionen vor 1.27.2 die SSE- und die zustandsbehafteten Streamable-HTTP-Transports (mcp.server.sse.SseServerTransport) betroffen; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf Version 1.27.2 oder neuer aktualisieren.

Das MCP Python SDK (auf PyPI als „mcp“ veröffentlicht) ist eine Python- Implementierung des Model Context Protocol (MCP). Vor Version 1.28.1 akzeptierte der als veraltet markierte Transport mcp.server.websocket.websocket_server eingehende WebSocket-Verbindungen ohne ausreichende Absicherung. CVSS-Basiswert: 8.1 (Hoch); der Vektor weist auf eine erforderliche Nutzerinteraktion sowie hohe Auswirkungen auf Vertraulichkeit und Integrität hin. Empfohlene Massnahme: Aktualisierung auf Version 1.28.1 oder neuer.

Pillow ist eine Python-Bildverarbeitungsbibliothek. In Versionen vor 12.3.0 können öffentliche APIs für Bildkoordinaten einen nativen Heap-Schreibzugriff ausserhalb der Puffergrenzen auslösen, wenn Koordinaten nahe den Grenzen des vorzeichenbehafteten 32-Bit-Integers übergeben werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Pillow 12.3.0 oder neuer aktualisieren.

Die Python-Bildbibliothek Pillow vor Version 12.3.0 kann über die API ImageCms.ImageCmsTransform.apply() eine kontrollierte native Heap-Korruption auslösen, wenn der Aufrufer ein Ausgabebild mit ungeeigneten Eigenschaften übergibt. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Empfohlene Massnahme: Update auf Pillow 12.3.0 oder neuer einspielen.

Tornado ist ein Python-Webframework und eine asynchrone Netzwerkbibliothek. Vor Version 6.5.6 verarbeiteten die gzip-Dekompressionsroutinen zwar Chunks begrenzter Grösse, erzwangen jedoch keine Gesamtgrenze für die akkumulierte dekomprimierte Datenmenge. CVSS-Basiswert: 7.5 (Hoch). Für diese Schwachstelle liegt in den Quelldaten kein EPSS-Wert vor.

Das MCP Python SDK (PyPI-Paket mcp) aktiviert vor Version 1.23.0 den Schutz gegen DNS-Rebinding für HTTP-basierte Server nicht standardmässig. Wird ein solcher Server ohne Authentifizierung lokal betrieben und wurden die TransportSecuritySettings nicht konfiguriert, kann eine bösartige Webseite per DNS-Rebinding die Same-Origin-Policy umgehen und Anfragen an den lokalen MCP-Server senden, um im Namen des Nutzers Werkzeuge aufzurufen oder auf Ressourcen zuzugreifen. Server mit stdio-Transport sind nicht betroffen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

In der Python-Erweiterung für Visual Studio Code besteht eine Verletzung der Vertrauensgrenze (Trust boundary violation), über die ein nicht autorisierter Angreifer lokal beliebigen Code ausführen kann. Ursache ist eine unzureichende Trennung zwischen vertrauenswürdigen und nicht vertrauenswürdigen Daten. CVSS-Basiswert: 7.8 (Hoch).

Pillow ist eine Python-Bibliothek zur Bildverarbeitung. In den Versionen 11.2.0 bis vor 11.3.0 tritt beim Schreiben eines hinreichend grossen (über 64k kodiert mit Standardeinstellungen) Bildes im DDS-Format ein Heap-Buffer-Overflow auf, da beim Schreiben in einen Puffer der verfügbare Speicherplatz nicht geprüft wird. Betroffen sind ausschliesslich Nutzer, die nicht vertrauenswürdige Daten als komprimiertes DDS-Bild speichern. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 11.3.0.

In setuptools vor Version 78.1.1 besteht in PackageIndex eine Path-Traversal-Schwachstelle. Ein Angreifer könnte damit Dateien an beliebige Stellen im Dateisystem mit den Rechten des ausführenden Python-Prozesses schreiben, was je nach Kontext bis zur Remote-Code-Ausführung eskalieren kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf setuptools 78.1.1.

Python JSON Logger war zwischen dem 30. Dezember 2024 und dem 4. Maerz 2025 über eine fehlende Abhängigkeit angreifbar: Das Paket msgspec-python313-pre war vom Eigentuemer gelöscht worden, wodurch der Name von Dritten übernommen werden konnte. Wer die Entwicklungs-Abhängigkeiten unter Python 3.13 installierte, konnte so zur Ausführung von Schadcode gebracht werden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 3.3.0 aktualisieren.

python_book V1.0 weist eine fehlerhafte Zugriffskontrolle auf: Durch Manipulation des ID-Parameters können Angreifer sensible Informationen von Nutzern mit anderen IDs abrufen. CVSS-Basiswert: 7.5 (Hoch). Kein EPSS-Wert in den Quelldaten vorhanden.

Eine Schwachstelle in der Python-Erweiterung für Visual Studio Code erlaubt Remote Code Execution. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Im venv-Modul und -CLI von CPython werden Pfadnamen beim Anlegen einer virtuellen Umgebung nicht korrekt maskiert. Der Ersteller einer Umgebung kann dadurch Befehle in die Aktivierungsskripte injizieren, die beim Aktivieren der Umgebung (etwa via source venv/bin/activate) ausgeführt werden. Betroffen sind nur von Angreifern kontrollierte virtuelle Umgebungen; Umgebungen, die nicht von einem Angreifer erstellt wurden oder ohne Aktivierung direkt genutzt werden (etwa ./venv/bin/python), sind nicht betroffen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: fremde virtuelle Umgebungen nicht aktivieren und auf eine korrigierte Python-Version aktualisieren.

In CPython besteht eine Schwachstelle mittlerer Kritikalität: Regular Expressions, die beim Parsen von tar-Archiv-Headern in tarfile.TarFile exzessives Backtracking zulassen, sind anfällig für ReDoS über speziell präparierte tar-Archive. CVSS-Basiswert: 7.5 (Hoch).

Im Modul http.cookies von CPython führt das Parsen von Cookie-Werten mit Backslashes bei maskierten Zeichen zu einem Algorithmus mit quadratischer Laufzeitkomplexität, wodurch beim Verarbeiten präparierter Werte übermässig viele CPU-Ressourcen verbraucht werden. CVSS-Basiswert: 7.5 (Hoch).

In der Connector/Python-Komponente der Oracle-MySQL-Connectors erlaubt eine leicht ausnutzbare Schwachstelle unauthentifizierten Angreifern mit Netzwerkzugriff über mehrere Protokolle die Kompromittierung der MySQL-Connectors. Betroffen sind Version 8.3.0 und frühere. Ein erfolgreicher Angriff kann zu einem Hang oder wiederholt reproduzierbarem Absturz (vollständiger DoS) führen. CVSS-Basiswert: 7.5 (Hoch).

Das PyPI-Paket mjml (FelixSchwarz/mjml-python), ein inoffizieller Python-Port der Markup-Sprache MJML von Mailjet, rendert nicht ausreichend geprüfte Benutzereingaben als HTML im finalen Output. Ein Angreifer, der Daten kontrolliert, die später in ein mjml-Template eingefügt und als E-Mail versendet werden, kann dadurch den Inhalt der versendeten E-Mail-Nachrichten kontrollieren. Versionen vor 0.10.0 sind nicht betroffen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 0.11.0 einspielen.

Im Intel(R) oneAPI DPC++/C++ Compiler vor Version 2022.2.1 sowie in einigen Intel(R) oneAPI Toolkits vor Version 2022.3.1 erlaubt laut NVD eine unzureichende Zugriffskontrolle einem bereits authentifizierten Nutzer mit lokalem Zugriff eine Rechteausweitung. Der CVSS-Vektor beschreibt einen Angriff mit hoher Angriffskomplexität und geringen Rechten, der zusätzlich einen Scope-Wechsel bewirkt und zu vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. CVSS-Basiswert: 7.8 (Hoch).

Laut NVD verwendet der Streaming-Multipart-Parser python-multipart für Python einen regulären Ausdruck, um Optionen im HTTP-Content-Type-Header zu verarbeiten. Ein Angreifer kann einen speziell gestalteten Content-Type-Wert senden, den dieser reguläre Ausdruck nur extrem langsam verarbeiten kann, wodurch CPU-Ressourcen gebunden und die Haupt-Event-Loop minutenlang blockiert werden. Der Prozess kann währenddessen keine weiteren Anfragen mehr bearbeiten (Regular Expression Denial of Service). CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 0.0.7 oder neuer einspielen, dort wurde die Schwachstelle behoben.

In Pillow vor Version 10.0.0 kann bei der Verarbeitung von TrueType-Schriften in ImageFont unkontrolliert Speicher alloziert werden, wenn textlength in einer ImageDraw-Instanz mit einem langen Text-Argument aufgerufen wird. Dies kann zu einem Speichererschöpfungs-Denial-of-Service führen, der den betroffenen Dienst zum Absturz bringen kann. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In Python 3.11 bis einschliesslich 3.11.4 wird ein an os.path.normpath() übergebener Pfad, der '\0'-Bytes enthält, beim ersten '\0'-Byte unerwartet abgeschnitten. Dadurch sind Fälle denkbar, in denen eine Anwendung einen Dateinamen unter Python 3.10.x oder früher aus Sicherheitsgründen abgelehnt hätte, dieser unter Python 3.11.x jedoch nicht mehr zurückgewiesen wird. CVSS-Basiswert: 7.5 (Hoch). Der Fund wird auch im Zusammenhang mit NetApp-Produkten nachverfolgt, die Python einsetzen.

In Python bis einschliesslich Version 3.9 besteht in der Funktion heappushpop des Moduls heapq eine Use-after-free-Schwachstelle. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Die Funktion updatePosition in lib/xmltok_impl.c der XML-Bibliothek libexpat (Expat 2.0.1) erlaubt kontextabhängigen Angreifern, über manipulierte Eingaben einen Denial of Service auszulösen. Die Bibliothek wird unter anderem von Python, PyXML und w3c-libwww verwendet, wodurch die Schwachstelle eine grosse Zahl abgeleiteter Software betrifft. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für ABB Arctic Communication Solution ARM600 wurde eine Sicherheitslücke (CVE-2023-24329) gemeldet und per CSAF-Advisory adressiert. Laut ABB PSIRT CSAF/VEX-Advisory sind 2 Produkte als betroffen ausgewiesen (0 mit Fix). Ausnutzungswahrscheinlichkeit (EPSS): 20.5 %.

CVE-2005-0088 betrifft laut Axis-Sicherheitshinweisen Produkte von Axis sowie Python. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 6.5 %.

Für LibreOffice liegt laut der Sicherheitsübersicht der Document Foundation ein Eintrag zu dieser CVE-ID vor. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für diese Schwachstelle liegt in den Quelldaten keine detaillierte technische Beschreibung vor; sie wird auf der Sicherheitshinweis-Seite von Axis Communications geführt und betrifft laut Zuordnung auch Python. Ein CVSS-Basiswert ist nicht vorhanden, ebenso keine Angabe zu aktiver Ausnutzung (CISA KEV) oder Einsatz in Ransomware-Kampagnen. Ausnutzungswahrscheinlichkeit (EPSS): 4.2 %. Weitere Details sind der Axis-Sicherheitshinweis-Seite zu entnehmen.

Die Python-Standardbibliotheksfunktionen urllib.parse.urlsplit und urlparse akzeptierten Domainnamen mit eckigen Klammern, was nicht RFC 3986 entspricht; eckige Klammern sind dort ausschliesslich für IPv6-Adressen vorgesehen. Weitere Details zur Auswirkung sind in den Quelldaten abgeschnitten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Laut NVD wurde im subprocess-Modul von CPython 3.12.0 auf POSIX-Plattformen ein Fehler im Zusammenhang mit dem Parameter extra_groups= festgestellt. Das Problem wurde in CPython 3.12.1 behoben, andere stabile Versionen sind nicht betroffen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

In QUSETIONS MiniCode-Python 0.1.0 betrifft eine Schwachstelle die Funktion subprocess.Popen der Datei minicode/config.py im Bestandteil Project File Handler. Die Manipulation dieser Funktion lässt sich ausnutzen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Vor Version 3.1.3 interpoliert der CSVAgent von Flowise einen von Angreifern kontrollierbaren Teil der csvFile-Data-URI direkt in eine Python-Quellcode-Vorlage, die anschliessend über Pyodide ausgeführt wird. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.24.0 und vor Version 1.2.5 verarbeitet der ProcessMergeDriver von Dulwich den Dateipfad auf unsichere Weise, was ein Sicherheitsrisiko darstellt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Dulwich 1.2.5 oder neuer aktualisieren.

Poetry ist ein Abhängigkeitsmanager für Python. Von Version 1.4.0 bis vor Version 2.3.3 kann ein manipuliertes Wheel ../-Pfade enthalten, die Poetry ohne Containment-Prüfung auf die Festplatte schreibt. Dadurch ist ein beliebiges Schreiben von Dateien möglich. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Version 2.3.3 oder neuer aktualisieren.

Python Liquid ist eine Python-Engine für die Template-Sprache Liquid. Vor Version 2.2.1 tritt bei einem fehlerhaften case-Tag ohne zugehörigen when- oder else-Block und ohne abschliessendes endcase-Tag ein Fehler auf. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Python Liquid 2.2.1 oder neuer.

Pydantic AI ist ein Python-Framework zum Bau von Generative-AI-Agenten. In den Versionen 1.56.0 bis 1.98.0 kann eine Anwendung beim Öffnen einer URL über die Option force_download='allow-local' einen Standardschutz deaktivieren; weitere Angaben zur Schwachstelle liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.8 (Mittel). In den überwachten Quellen ist neben Python auch Zoho mit dieser CVE verknüpft.

Tautulli, ein Python-basiertes Monitoring- und Tracking-Werkzeug für Plex Media Server, ist in Versionen vor 2.17.1 über die Funktion für ein benutzerdefiniertes Newsletter-Template-Verzeichnis anfällig für Remote Code Execution. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Tautulli 2.17.1 oder neuer aktualisieren.

Bei aiohttp bis Version 3.14.1 ermöglicht CVE-2026-69243 Request Smuggling über eine abgelehnte WebSocket-Upgrade-Anfrage: Enthält die Anfrage Connection: Upgrade, Upgrade: websocket und einen Content-Length-Body, wird der Body bei einer abgelehnten Umschaltung nicht konsumiert, sondern verbleibt im Parser und wird anschliessend als eigenständige, pipelined Anfrage erneut verarbeitet. Der Fehler ist in GHSA-mfx4-hv73-q22v dokumentiert und in Version 3.14.2 behoben. Laut einem community-veröffentlichten Proof-of-Concept (reddit:r/redteamsec, manuell erfasst) protokolliert Nginx hinter der von der Nginx-Dokumentation empfohlenen WebSocket-Konfiguration eine Anfrage, aiohttp verarbeitet jedoch zwei; die geschmuggelte Anfrage umging im Test eine deny-all-Regel für den Pfad /admin. Da die zweite Antwort vom Proxy absorbiert wird, handelt es sich laut Quelle um eine blinde Handler-Invokation ohne Rückgabe der Antwort an den Angreifer. CVSS- und EPSS-Werte liegen in den Quelldaten nicht vor.

Die Bibliothek „Internationalized Domain Names in Applications" (IDNA) für Python bietet Unterstützung für internationalisierte Domainnamen und die Unicode-IDNA-Kompatibilitätsverarbeitung. In den betroffenen Versionen besteht in dieser Verarbeitung eine Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Pillow ist eine Python-Bibliothek zur Bildverarbeitung. In den Versionen 8.2.0 bis 12.2.0 summiert src/libImaging/Jpeg2KDecode.c die total_component_width über alle Kacheln eines JPEG2000-Bildes auf, statt sie pro Kachel neu zu berechnen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Pillow auf eine korrigierte Version aktualisieren, sobald verfügbar.

Flowise ist eine Drag-&-Drop-Oberfläche zum Erstellen individueller Large-Language-Model-Workflows. Vor Version 3.1.3 erlaubte laut NVD der CSVAgent-Node Nutzern, Python-Code bereitzustellen, der über pyodide ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Pillow, eine Bildbibliothek für Python, verarbeitet vor Version 12.3.0 beim Laden eines unkomprimierten McIdas-AREA-Bilds über den mmap-Raw-Codec-Pfad angreiferkontrollierte Header-Werte. Für diese Schwachstelle liegen in den Quelldaten kein CVSS- und kein EPSS-Wert vor; der Schweregrad wird mangels Kennzahlen mit Mittel eingestuft. Empfohlene Massnahme: auf Pillow 12.3.0 oder neuer aktualisieren.

Im Python-basierten UI-Framework NiceGUI akzeptieren vor Version 3.12.0 zwei FastAPI-Routen, die komponentenbezogene statische Assets ausliefern, einen Unterpfad-Parameter, der zu einem Verzeichnis statt einer Datei aufgelöst werden kann. Dies kann zu unbeabsichtigten Informationsoffenlegungen führen. CVSS-Basiswert: 5.3 (Mittel).

Grist ist eine Tabellenkalkulations-Software, die Python als Formelsprache nutzt. Vor Version 1.7.15 enthielt Grist zwei Cross-Site-Scripting-Schwachstellen, bei denen ein vom Angreifer kontrollierter Wert in das href-Attribut eines Links gelangt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.7.15 oder neuer aktualisieren.

Tautulli ist ein Python-basiertes Überwachungs- und Tracking-Werkzeug für den Plex Media Server. In Versionen vor 2.17.1 ermöglicht eine Path-Traversal-Schwachstelle im Endpunkt zum Löschen des Caches einem authentifizierten Zugriff über die API einen in den Quelldaten nicht näher ausgeführten Dateizugriff. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Tautulli 2.17.1 oder neuer aktualisieren.