p PatchFirst

CVE-2026-32727

CVE-2026-32727 · SciTokens: Authorization Bypass via Path Traversal in Scope Validation

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

SciTokens is a reference library for generating and using SciTokens. Prior to version 1.9.7, the Enforcer is vulnerable to a path traversal attack where an attacker can use dot-dot (..) in the scope claim of a token to escape the intended directory restriction. This occurs because the library normalizes both the authorized path (from the token) and the requested path (from the application) before comparing them using startswith. This issue has been patched in version 1.9.7.

CVSS 8.1 · Hoch · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • scitokens

    Softwareversionen
    • < 1.9.7: Betroffen

    Keine Korrektur veröffentlicht

  • scitokens PyPI

    Softwareversionen
    • 0.1
    • 0.1.1
    • 0.1.3
    • 0.1.4
    • 0.1.5
    • 0.1.6
    • 0.2.1
    • 0.2.2
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.1.0
    • 1.1.1
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.4
    • 1.3.1
    • 1.4.0
    • 1.5.0
    • 1.6.0
    • 1.6.2
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.4
    • 1.8.0
    • 1.8.1
    • 1.9.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.9.7

    Auf 1.9.7 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →