p PatchFirst

CVE-2026-46338

CVE-2026-46338 · PyMdown Extensions: Regression in pymdownx.snippets reintroduces sibling-prefix path traversal bypass despite restrict_base_path

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

PyMdown Extensions is a set of extensions for the Python-Markdown markdown project. From 10.0.1 until 10.21.3, pymdownx.snippets uses a string-prefix containment check in SnippetPreprocessor.get_snippet_path() in pymdownx/snippets.py when `restrict_base_path: True`, allowing markdown snippet directives to read files from sibling paths that share the same base_path prefix, such as docs and docs_internal. This is a regression of CVE-2023-32309. This issue is fixed in version 10.21.3.

CVSS 4.3 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • pymdown-extensions

    Versions du logiciel
    • >= 10.0.1, < 10.21.3: Concernée

    Aucun correctif publié

  • pymdown-extensions Debian:12

    Versions du logiciel
    • 10.11.2-1
    • 10.13-1
    • 10.13-2
    • 10.13-3
    • 10.13-4
    • 10.19.1-1
    • 10.19.1-3
    • 10.8.1-1
    • 10.9-1
    • 11.0.1-1
    • 9.5-2
    • 9.5-3
    • 9.5-4
    • 9.5-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • pymdown-extensions Debian:13

    Versions du logiciel
    • 10.13-1
    • 10.13-1+deb13u1
    • 10.13-2
    • 10.13-3
    • 10.13-4
    • 10.19.1-1
    • 10.19.1-3
    • 11.0.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • pymdown-extensions Debian:14

    Versions du logiciel
    • 10.13-1
    • 10.13-2
    • 10.13-3
    • 10.13-4
    • 10.19.1-1
    • 10.19.1-3
    Plages de versions concernées
    • ECOSYSTEM: < 11.0.1-1

    Mettez à jour vers 11.0.1-1

  • pymdown-extensions PyPI

    Versions du logiciel
    • 10.0.1
    • 10.1
    • 10.10
    • 10.10.1
    • 10.10.2
    • 10.11
    • 10.11.1
    • 10.11.2
    • 10.12
    • 10.13
    • 10.14
    • 10.14.1
    • 10.14.2
    • 10.14.3
    • 10.15
    • 10.16
    • 10.16.1
    • 10.17
    • 10.17.1
    • 10.17.2
    • 10.18
    • 10.19
    • 10.19.1
    • 10.2
    • 10.2.1
    • 10.20
    • 10.20.1
    • 10.21
    • 10.21.2
    • 10.3
    • 10.3.1
    • 10.4
    • 10.5
    • 10.6
    • 10.7
    • 10.7.1
    • 10.8
    • 10.8.1
    • 10.9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 10.0.1, < 10.21.3

    Mettez à jour vers 10.21.3

  • pymdown-extensions Ubuntu:24.04:LTS

    Versions du logiciel
    • 9.5-2
    • 9.5-4
    • 9.5-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • pymdown-extensions Ubuntu:26.10

    Versions du logiciel
    • 10.19.1-3
    • 11.0.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • pymdown-extensions Ubuntu:26.04:LTS

    Versions du logiciel
    • 10.13-3
    • 10.13-4
    • 10.19.1-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →