Mesop में `FileStateSessionBackend` का उपयोग करके एक Path Traversal भेद्यता एप्लीकेशन Denial of Service और File Write/Deletion की ओर ले जाती है

यह भेद्यता mesop एप्लिकेशन के लिए गंभीर जोखिम पैदा करती है। एक हमलावर state_token के माध्यम से अनट्रस्टेड इनपुट का उपयोग करके डिस्क पर मनमाने ढंग से फ़ाइलों को लक्षित कर सकता है। इसका परिणाम एप्लिकेशन के क्रैश होने के कारण सेवा से इनकार हो सकता है, खासकर जब गैर-msgpack लक्ष्य फ़ाइलों को कॉन्फ़िगरेशन के रूप में पढ़ा जाता है। इसके अतिरिक्त, हमलावर फ़ाइलों को संशोधित करने में सक्षम हो सकता है, जिससे डेटा की अखंडता से समझौता हो सकता है और संभावित रूप से सिस्टम पर नियंत्रण प्राप्त हो सकता है। इस भेद्यता का शोषण करने के लिए विशेष रूप से जटिल ज्ञान की आवश्यकता नहीं होती है, जिससे यह व्यापक रूप से शोषण के लिए अतिसंवेदनशील हो जाता है।

Organizations deploying mesop with the FileStateSessionBackend are at significant risk, particularly those running versions prior to 1.2.3. Shared hosting environments where multiple users share the same file system are especially vulnerable, as an attacker could potentially compromise other users' sessions.

• python / server:

import os
import subprocess

def check_mesop_version():
    try:
        result = subprocess.check_output(['mesop', '--version'], stderr=subprocess.STDOUT, text=True)
        version = result.strip()
        if version.startswith('1.2.2rc'):
            print(f"VULNERABLE: mesop version {version} detected.")
        elif version.startswith('1.2.3'):
            print(f"PATCHED: mesop version {version} detected.")
        else:
            print(f"mesop version {version} detected.  Check for updates.")
    except FileNotFoundError:
        print("mesop not found.  Check installation.")

check_mesop_version()

1. 2026-03-18Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-18
3. संशोधित2026-03-20
4. EPSS अद्यतन2026-03-27

CVE-2026-33054 को कम करने के लिए, mesop को संस्करण 1.2.3 में तुरंत अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो फ़ाइल-आधारित सत्र बैकएंड (FileStateSessionBackend) के उपयोग को अक्षम करने पर विचार करें। यदि यह संभव नहीं है, तो इनपुट सत्यापन को लागू करके state_token को मान्य करें ताकि यह सुनिश्चित किया जा सके कि यह केवल अपेक्षित मानों को ही स्वीकार करता है। वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को कॉन्फ़िगर करें जो पथ पारगमन पैटर्न का पता लगाते हैं और उन्हें अवरुद्ध करते हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि एप्लिकेशन अब अनधिकृत फ़ाइल एक्सेस की अनुमति नहीं देता है।