Mesop has a Path Traversal utilizing `FileStateSessionBackend` leads to Application Denial of Service and File Write/Deletion

De Path Traversal kwetsbaarheid in mesop maakt het mogelijk voor een aanvaller om de structuur van het bestandssysteem te doorbreken. Door een kwaadwillige state_token te leveren, kan de aanvaller bestanden lezen en mogelijk manipuleren die zich buiten de beoogde sessie-opslaglocatie bevinden. Dit kan leiden tot een denial-of-service (DoS) door het framework te laten crashen bij het proberen te lezen van niet-msgpack bestanden als configuratiebestanden. In ernstige gevallen kan de aanvaller gevoelige informatie blootleggen of de integriteit van het systeem in gevaar brengen door configuratiebestanden te wijzigen.

Organizations deploying mesop with the FileStateSessionBackend are at significant risk, particularly those running versions prior to 1.2.3. Shared hosting environments where multiple users share the same file system are especially vulnerable, as an attacker could potentially compromise other users' sessions.

• python / server:

import os
import subprocess

def check_mesop_version():
    try:
        result = subprocess.check_output(['mesop', '--version'], stderr=subprocess.STDOUT, text=True)
        version = result.strip()
        if version.startswith('1.2.2rc'):
            print(f"VULNERABLE: mesop version {version} detected.")
        elif version.startswith('1.2.3'):
            print(f"PATCHED: mesop version {version} detected.")
        else:
            print(f"mesop version {version} detected.  Check for updates.")
    except FileNotFoundError:
        print("mesop not found.  Check installation.")

check_mesop_version()

1. 2026-03-18Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-03-18
3. Gewijzigd2026-03-20
4. EPSS bijgewerkt2026-03-27

De primaire mitigatie voor CVE-2026-33054 is het upgraden naar mesop versie 1.2.3 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het beperken van de toegang tot de UI stream payload en het valideren van de state_token. Implementeer strikte toegangscontroles op het bestandssysteem om te voorkomen dat onbevoegden toegang krijgen tot gevoelige bestanden. Controleer de configuratie van de FileStateSessionBackend om er zeker van te zijn dat deze correct is ingesteld en dat er geen onbedoelde toegangspaden zijn. Na de upgrade, verifieer de fix door te proberen een bestand buiten de verwachte sessie-opslaglocatie te benaderen via de UI stream payload.