Werkzeug: Codeausführung über den Debugger bei bekannter PIN

Beschreibung

Werkzeug ist eine umfassende WSGI-Webanwendungsbibliothek. Der Debugger betroffener Versionen kann einem Angreifer unter bestimmten Umständen erlauben, Code auf der Maschine eines Entwicklers auszuführen. Dazu muss der Angreifer den Entwickler dazu bringen, mit einer von ihm kontrollierten Domain und Subdomain zu interagieren und die Debugger-PIN einzugeben; gelingt dies, ist der Zugriff auf den Debugger möglich, selbst wenn dieser nur auf localhost läuft. Zusätzlich muss der Angreifer eine URL in der Anwendung des Entwicklers erraten, die den Debugger auslöst. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Werkzeug 3.0.3 aktualisieren, in der die Schwachstelle behoben ist.

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Debian (DSA)

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061
• VMware Aria Operations / VMware Tools – Rechteausweitung durch unsichere Aktionen KEV CVE-2025-41244
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463