p PatchFirst

CVE-2024-1314

CVE-2024-1314 · Kinto Attachment's attachments can be replaced on read-only records

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

### Impact The attachment file of an existing record can be replaced if the user has `"read"` permission on one of the parent (collection or bucket). And if the `"read"` permission is given to `"system.Everyone"` on one of the parent, then the attachment can be replaced on a record using an anonymous request. Note that if the parent has no explicit read permission, then the records attachments are safe. ### Patches - Patch released in kinto-attachment 6.4.0 - https://github.com/Kinto/kinto-attachment/commit/f4a31484f5925cbc02b59ebd37554538ab826ca1 ### Workarounds None if the read permission has to remain granted. Updating to 6.4.0 or applying the patch individually (if updating is not feasible) is strongly recommended. ### References - https://bugzilla.mozilla.org/show_bug.cgi?id=1879034

CVSS 8.6 · Élevée · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • kinto-attachment PyPI

    Versions du logiciel
    • 0.1.0
    • 0.1.0.dev0
    • 0.2.0
    • 0.3.0
    • 0.4.0
    • 0.5.0
    • 0.5.0.dev0
    • 0.5.1
    • 0.6.0
    • 0.7.0
    • 0.7.1
    • 0.8.0
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 2.0.0
    • 2.0.1
    • 2.1.0
    • 3.0.0
    • 3.0.1
    • 4.0.0
    • 5.0.0
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 6.0.4
    • 6.1.0
    • 6.2.0
    • 6.3.0
    • 6.3.1
    • 6.3.2
    Plages de versions concernées
    • ECOSYSTEM: < 6.4.0

    Mettez à jour vers 6.4.0

Sources originales

Vérifiez votre serveur →