CVE-2026-40035
CVE-2026-40035 · Unfurl - Werkzeug Debugger Exposure via String Config Parsing
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Unfurl through 2025.08 contains an improper input validation vulnerability in config parsing that enables Flask debug mode by default. The debug configuration value is read as a string and passed directly to app.run(), causing any non-empty string to evaluate truthy, allowing attackers to access the Werkzeug debugger and disclose sensitive information or achieve remote code execution.
CVSS 9.3 · Critique · EPSS 0,6%
- Publication
- Mise à jour
Pile logicielle: python
Produits et versions concernés
unfurl
- Versions du logiciel
- ≥ 0, ≤ 2025.08: Concernée (custom)
Aucun correctif publié
dfir-unfurl PyPI
- Versions du logiciel
- 20200629
- 20200630
- 20200630.2
- 20200630.3
- 20200630.4
- 20200702
- 20200703
- 20200729
- 20200812
- 20201102
- 20210308
- 20210309
- 20210310
- 20210311
- 20210615
- 20220200
- 20221100
- 20230900
- 20230901
- 20240625
- 20240626
- 20240627
- 20241120
- 20241121
- 20250218
- 20250312
- 20250810
- Plages de versions concernées
- ECOSYSTEM: ≤ 20250810
Aucun correctif publié