CVE-2026-27641
CVE-2026-27641 · Flask-Reuploaded vulnerable to Remote Code Execution via Server-Side Template Injection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Flask-Reuploaded provides file uploads for Flask. A critical path traversal and extension bypass vulnerability in versions prior to 1.5.0 allows remote attackers to achieve arbitrary file write and remote code execution through Server-Side Template Injection (SSTI). Flask-Reuploaded has been patched in version 1.5.0. Some workarounds are available. Do not pass user input to the `name` parameter, use auto-generated filenames only, and implement strict input validation if `name` must be used.
CVSS 9.8 · Critique · EPSS 1,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: python
Produits et versions concernés
flask-reuploaded
- Versions du logiciel
- < 1.5.0: Concernée
Aucun correctif publié
flask-reuploaded PyPI
- Versions du logiciel
- 0.3
- 0.3.1
- 0.3.2
- 0.4.0
- 0.5.0
- 1.0.0
- 1.1.0
- 1.2.0
- 1.3.0
- 1.4.0
- Plages de versions concernées
- ECOSYSTEM: < 1.5.0
Mettez à jour vers 1.5.0