p PatchFirst

CVE-2025-67720

CVE-2025-67720 · Pyrofork has a Path Traversal in download_media Method

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Pyrofork is a modern, asynchronous MTProto API framework. Versions 2.3.68 and earlier do not properly sanitize filenames received from Telegram messages in the download_media method before using them in file path construction. When downloading media, if the user does not specify a custom filename (which is the common/default usage), the method falls back to using the file_name attribute from the media object. The attribute originates from Telegram's DocumentAttributeFilename and is controlled by the message sender. This issue is fixed in version 2.3.69.

CVSS 6.5 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • pyrofork

    Versiones
    • < 2.3.69: Afectada

    Sin corrección publicada

  • pyrofork PyPI

    Versiones
    • 2.1.3
    • 2.1.4
    • 2.1.4.dev202303203721
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.2.0
    • 2.2.1
    • 2.2.10
    • 2.2.11
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.2.9
    • 2.3.0
    • 2.3.1
    • 2.3.10
    • 2.3.11
    • 2.3.11.post1
    • 2.3.11.post2
    • 2.3.11.post3
    • 2.3.11.post4
    • 2.3.11.post5
    • 2.3.11.post6
    • 2.3.12
    • 2.3.12.post1
    • 2.3.13
    • 2.3.13.post1
    • 2.3.14
    • 2.3.14.post1
    • 2.3.14.post2
    • 2.3.15
    • 2.3.15.post1
    • 2.3.15.post2
    • 2.3.15.post3
    • 2.3.15.post4
    • 2.3.15.post5
    • 2.3.16
    • 2.3.16.post1
    • 2.3.16.post2
    • 2.3.16.post3
    • 2.3.16.post4
    • 2.3.16.post5
    • 2.3.17
    • 2.3.17.post1
    • 2.3.17.post2
    • 2.3.18
    • 2.3.19
    • 2.3.19.post1
    • 2.3.19.post2
    • 2.3.2
    • 2.3.20
    • 2.3.21
    • 2.3.21.post1
    • 2.3.21.post2
    • 2.3.21.post3
    • 2.3.22
    • 2.3.23
    • 2.3.24
    • 2.3.25
    • 2.3.26
    • 2.3.27
    • 2.3.28
    • 2.3.29
    • 2.3.3
    • 2.3.30
    • 2.3.31
    • 2.3.32
    • 2.3.33
    • 2.3.34
    • 2.3.35
    • 2.3.36
    • 2.3.37
    • 2.3.38
    • 2.3.39
    • 2.3.4
    • 2.3.40
    • 2.3.41
    • 2.3.42
    • 2.3.43
    • 2.3.44
    • 2.3.45
    • 2.3.46
    • 2.3.47
    • 2.3.48
    • 2.3.48.dev1
    • 2.3.49
    • 2.3.5
    • 2.3.5.post1
    • 2.3.5.post2
    • 2.3.50
    • 2.3.51
    • 2.3.52
    • 2.3.53
    • 2.3.54
    • 2.3.55
    • 2.3.56
    • 2.3.57
    • 2.3.58
    • 2.3.59
    • 2.3.6
    • 2.3.6.post1
    • 2.3.6.post2
    • 2.3.6.post3
    • 2.3.60
    • 2.3.61
    • 2.3.62
    • 2.3.63
    • 2.3.64
    • 2.3.65
    • 2.3.66
    • 2.3.67
    • 2.3.68
    • 2.3.68.dev1
    • 2.3.69.dev1
    • 2.3.7
    • 2.3.8
    • 2.3.8.post1
    • 2.3.8.post2
    • 2.3.8.post3
    • 2.3.9
    • 2.3.9.post1
    • 2.3.9.post2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.3.69

    Actualiza a 2.3.69

Fuentes originales

Comprueba tu servidor →