p PatchFirst

CVE-2026-27641

CVE-2026-27641 · Flask-Reuploaded vulnerable to Remote Code Execution via Server-Side Template Injection

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Flask-Reuploaded provides file uploads for Flask. A critical path traversal and extension bypass vulnerability in versions prior to 1.5.0 allows remote attackers to achieve arbitrary file write and remote code execution through Server-Side Template Injection (SSTI). Flask-Reuploaded has been patched in version 1.5.0. Some workarounds are available. Do not pass user input to the `name` parameter, use auto-generated filenames only, and implement strict input validation if `name` must be used.

CVSS 9.8 · Crítica · EPSS 1,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • flask-reuploaded

    Versiones
    • < 1.5.0: Afectada

    Sin corrección publicada

  • flask-reuploaded PyPI

    Versiones
    • 0.3
    • 0.3.1
    • 0.3.2
    • 0.4.0
    • 0.5.0
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.4.0
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.5.0

    Actualiza a 1.5.0

Fuentes originales

Comprueba tu servidor →