Mesop tiene un Path Traversal utilizando `FileStateSessionBackend` que conduce a una Denegación de Servicio de la Aplicación y Escritura/Eliminación de Archivos

Un atacante que explote esta vulnerabilidad puede leer o modificar cualquier archivo al que el proceso de mesop tenga acceso en el sistema de archivos. Esto incluye archivos de configuración, archivos de registro e incluso archivos binarios. La manipulación de archivos de configuración podría permitir al atacante alterar el comportamiento del sistema, mientras que la lectura de archivos de registro podría revelar información confidencial. La denegación de servicio se produce al intentar leer archivos no válidos como configuraciones, lo que provoca bucles de fallo. La severidad crítica se debe a la facilidad de explotación y el potencial de acceso no autorizado a datos sensibles o control del sistema.

Organizations deploying mesop with the FileStateSessionBackend are at significant risk, particularly those running versions prior to 1.2.3. Shared hosting environments where multiple users share the same file system are especially vulnerable, as an attacker could potentially compromise other users' sessions.

• python / server:

import os
import subprocess

def check_mesop_version():
    try:
        result = subprocess.check_output(['mesop', '--version'], stderr=subprocess.STDOUT, text=True)
        version = result.strip()
        if version.startswith('1.2.2rc'):
            print(f"VULNERABLE: mesop version {version} detected.")
        elif version.startswith('1.2.3'):
            print(f"PATCHED: mesop version {version} detected.")
        else:
            print(f"mesop version {version} detected.  Check for updates.")
    except FileNotFoundError:
        print("mesop not found.  Check installation.")

check_mesop_version()

1. 2026-03-18Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-18
3. Modificada2026-03-20
4. EPSS actualizado2026-03-27

La mitigación principal es actualizar a la versión 1.2.3 de mesop, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda evitar el uso del backend de sesión basado en disco (FileStateSessionBackend) si es factible. Como alternativa temporal, se puede implementar un control de acceso más estricto en el directorio donde se almacenan los archivos de sesión, limitando los permisos del usuario de mesop a solo los archivos necesarios. Monitorear los registros del sistema en busca de accesos inusuales a archivos podría ayudar a detectar intentos de explotación. No existen firmas Sigma o YARA específicas disponibles en este momento.