p PatchFirst

CVE-2025-67720

CVE-2025-67720 · Pyrofork has a Path Traversal in download_media Method

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Pyrofork is a modern, asynchronous MTProto API framework. Versions 2.3.68 and earlier do not properly sanitize filenames received from Telegram messages in the download_media method before using them in file path construction. When downloading media, if the user does not specify a custom filename (which is the common/default usage), the method falls back to using the file_name attribute from the media object. The attribute originates from Telegram's DocumentAttributeFilename and is controlled by the message sender. This issue is fixed in version 2.3.69.

CVSS 6.5 · Moyenne · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • pyrofork

    Versions du logiciel
    • < 2.3.69: Concernée

    Aucun correctif publié

  • pyrofork PyPI

    Versions du logiciel
    • 2.1.3
    • 2.1.4
    • 2.1.4.dev202303203721
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.2.0
    • 2.2.1
    • 2.2.10
    • 2.2.11
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.2.9
    • 2.3.0
    • 2.3.1
    • 2.3.10
    • 2.3.11
    • 2.3.11.post1
    • 2.3.11.post2
    • 2.3.11.post3
    • 2.3.11.post4
    • 2.3.11.post5
    • 2.3.11.post6
    • 2.3.12
    • 2.3.12.post1
    • 2.3.13
    • 2.3.13.post1
    • 2.3.14
    • 2.3.14.post1
    • 2.3.14.post2
    • 2.3.15
    • 2.3.15.post1
    • 2.3.15.post2
    • 2.3.15.post3
    • 2.3.15.post4
    • 2.3.15.post5
    • 2.3.16
    • 2.3.16.post1
    • 2.3.16.post2
    • 2.3.16.post3
    • 2.3.16.post4
    • 2.3.16.post5
    • 2.3.17
    • 2.3.17.post1
    • 2.3.17.post2
    • 2.3.18
    • 2.3.19
    • 2.3.19.post1
    • 2.3.19.post2
    • 2.3.2
    • 2.3.20
    • 2.3.21
    • 2.3.21.post1
    • 2.3.21.post2
    • 2.3.21.post3
    • 2.3.22
    • 2.3.23
    • 2.3.24
    • 2.3.25
    • 2.3.26
    • 2.3.27
    • 2.3.28
    • 2.3.29
    • 2.3.3
    • 2.3.30
    • 2.3.31
    • 2.3.32
    • 2.3.33
    • 2.3.34
    • 2.3.35
    • 2.3.36
    • 2.3.37
    • 2.3.38
    • 2.3.39
    • 2.3.4
    • 2.3.40
    • 2.3.41
    • 2.3.42
    • 2.3.43
    • 2.3.44
    • 2.3.45
    • 2.3.46
    • 2.3.47
    • 2.3.48
    • 2.3.48.dev1
    • 2.3.49
    • 2.3.5
    • 2.3.5.post1
    • 2.3.5.post2
    • 2.3.50
    • 2.3.51
    • 2.3.52
    • 2.3.53
    • 2.3.54
    • 2.3.55
    • 2.3.56
    • 2.3.57
    • 2.3.58
    • 2.3.59
    • 2.3.6
    • 2.3.6.post1
    • 2.3.6.post2
    • 2.3.6.post3
    • 2.3.60
    • 2.3.61
    • 2.3.62
    • 2.3.63
    • 2.3.64
    • 2.3.65
    • 2.3.66
    • 2.3.67
    • 2.3.68
    • 2.3.68.dev1
    • 2.3.69.dev1
    • 2.3.7
    • 2.3.8
    • 2.3.8.post1
    • 2.3.8.post2
    • 2.3.8.post3
    • 2.3.9
    • 2.3.9.post1
    • 2.3.9.post2
    Plages de versions concernées
    • ECOSYSTEM: < 2.3.69

    Mettez à jour vers 2.3.69

Sources originales

Vérifiez votre serveur →