p PatchFirst

CVE-2024-1314

CVE-2024-1314 · Kinto Attachment's attachments can be replaced on read-only records

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

### Impact The attachment file of an existing record can be replaced if the user has `"read"` permission on one of the parent (collection or bucket). And if the `"read"` permission is given to `"system.Everyone"` on one of the parent, then the attachment can be replaced on a record using an anonymous request. Note that if the parent has no explicit read permission, then the records attachments are safe. ### Patches - Patch released in kinto-attachment 6.4.0 - https://github.com/Kinto/kinto-attachment/commit/f4a31484f5925cbc02b59ebd37554538ab826ca1 ### Workarounds None if the read permission has to remain granted. Updating to 6.4.0 or applying the patch individually (if updating is not feasible) is strongly recommended. ### References - https://bugzilla.mozilla.org/show_bug.cgi?id=1879034

CVSS 8.6 · Hoch · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • kinto-attachment PyPI

    Softwareversionen
    • 0.1.0
    • 0.1.0.dev0
    • 0.2.0
    • 0.3.0
    • 0.4.0
    • 0.5.0
    • 0.5.0.dev0
    • 0.5.1
    • 0.6.0
    • 0.7.0
    • 0.7.1
    • 0.8.0
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 2.0.0
    • 2.0.1
    • 2.1.0
    • 3.0.0
    • 3.0.1
    • 4.0.0
    • 5.0.0
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 6.0.4
    • 6.1.0
    • 6.2.0
    • 6.3.0
    • 6.3.1
    • 6.3.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 6.4.0

    Auf 6.4.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →