Plateforme
python
Composant
scitokens
Corrigé dans
1.9.8
CVE-2026-32727 est une vulnérabilité de type Path Traversal affectant la bibliothèque SciTokens. Elle permet à un attaquant d'utiliser la séquence '..' dans la revendication de portée d'un token pour échapper aux restrictions de répertoire prévues. Cette vulnérabilité affecte les versions inférieures à 1.9.7. La version 1.9.7 corrige ce problème.
La vulnérabilité CVE-2026-32727 dans SciTokens affecte la bibliothèque Enforcer, permettant une attaque de traversée de chemin (path traversal). Avant la version 1.9.7, un attaquant pouvait manipuler la revendication 'scope' d'un SciToken en utilisant des séquences '..' pour échapper aux restrictions de répertoire prévues. Cela est dû au fait que la bibliothèque normalise à la fois le chemin autorisé (à partir du jeton) et le chemin demandé (à partir de l'application) avant de les comparer à l'aide de 'startswith'. Si une application utilise SciTokens pour contrôler l'accès aux ressources en fonction des chemins, cette vulnérabilité pourrait permettre à un attaquant d'accéder à des fichiers ou répertoires non autorisés, compromettant la sécurité de l'application et les données sous-jacentes. La sévérité est classée comme CVSS 8.1, indiquant un risque modéré.
Un attaquant pourrait exploiter cette vulnérabilité s'il a accès à un SciToken valide (même s'il ne dispose pas nécessairement des autorisations correctes). En modifiant la revendication 'scope' du jeton pour inclure des séquences '..' qui pointent vers des répertoires en dehors de la portée prévue, l'attaquant pourrait tromper l'Enforcer pour qu'il autorise l'accès à ces ressources. La difficulté d'exploitation dépend de la complexité de l'application et de la disponibilité de jetons valides. L'exploitation est plus probable dans les environnements où les jetons sont générés et distribués sans validation appropriée.
Applications that rely on SciTokens for authentication and authorization, particularly those that handle user-supplied data in the scope claim, are at risk. This includes applications with custom authentication flows or those integrating SciTokens into legacy systems. Shared hosting environments where multiple applications share the same server and file system are also at increased risk.
• python / library: Inspect SciTokens library versions in your Python projects.
pip show scitokens• python / library: Check for usage of SciTokens with potentially untrusted scope claims in your application code. • generic web: Monitor application logs for unusual file access patterns or errors related to file paths. • generic web: Implement input validation on the application side to sanitize the scope claim before processing it.
disclosure
Statut de l'Exploit
EPSS
0.05% (percentile 15%)
CISA SSVC
Vecteur CVSS
La solution à cette vulnérabilité consiste à mettre à niveau vers la version 1.9.7 ou ultérieure de la bibliothèque SciTokens. Cette version corrige la façon dont les chemins sont gérés, empêchant ainsi la possibilité de traversée de chemin. Il est recommandé d'effectuer cette mise à niveau dès que possible pour atténuer le risque. De plus, examinez le code de l'application qui utilise SciTokens pour vous assurer qu'il n'y a pas d'autres vulnérabilités liées à la gestion des chemins et à la validation des entrées. La mise en œuvre d'une validation robuste des entrées utilisateur, y compris la validation des revendications des jetons, est une bonne pratique de sécurité générale.
Actualice la biblioteca SciTokens a la versión 1.9.7 o superior. Esta versión corrige la vulnerabilidad de path traversal en la validación del scope. La actualización evitará que atacantes puedan eludir las restricciones de directorio previstas mediante el uso de 'dot-dot (..)' en el scope del token.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
SciTokens est une bibliothèque de référence pour générer et utiliser des SciTokens, utilisés pour l'autorisation et le contrôle d'accès dans les applications.
La mise à niveau vers la version 1.9.7 corrige une vulnérabilité de traversée de chemin qui pourrait permettre aux attaquants d'accéder à des ressources non autorisées.
Vous pouvez vérifier votre version de SciTokens en consultant le fichier setup.py ou package.json de votre projet, en fonction de la façon dont vous avez installé la bibliothèque.
En tant que mesure temporaire, envisagez de mettre en œuvre une validation supplémentaire des chemins dans votre application pour empêcher l'accès à des répertoires non autorisés.
Vous pouvez trouver plus d'informations sur SciTokens et cette vulnérabilité dans la documentation officielle de SciTokens et les bases de données de vulnérabilités comme CVE.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.