CVE-2026-32727：SciTokens < 1.9.7 路径遍历漏洞

SciTokens 中的 CVE-2026-32727 影响了 Enforcer 库，使其容易受到路径遍历攻击。在 1.9.7 版本之前，攻击者可以通过使用 '..' 序列来操纵 SciToken 的 'scope' 断言，从而绕过预期的目录限制。这是因为库在比较之前会使用 'startswith' 对来自令牌的授权路径和来自应用程序的请求路径进行标准化。如果应用程序使用 SciTokens 来控制基于路径的资源访问，那么此漏洞可能允许攻击者访问未经授权的文件或目录，从而危及应用程序的安全性及其底层数据。严重程度评分为 CVSS 8.1，表明存在中等风险。

Applications that rely on SciTokens for authentication and authorization, particularly those that handle user-supplied data in the scope claim, are at risk. This includes applications with custom authentication flows or those integrating SciTokens into legacy systems. Shared hosting environments where multiple applications share the same server and file system are also at increased risk.

• python / library: Inspect SciTokens library versions in your Python projects.

pip show scitokens

• python / library: Check for usage of SciTokens with potentially untrusted scope claims in your application code. • generic web: Monitor application logs for unusual file access patterns or errors related to file paths. • generic web: Implement input validation on the application side to sanitize the scope claim before processing it.

1. 2026-03-31Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-03-31
3. 修改日期2026-04-02
4. EPSS 更新日期2026-04-07

此漏洞的解决方案是升级到 SciTokens 库的 1.9.7 或更高版本。此版本更正了路径处理方式，从而防止了路径遍历攻击的可能性。建议尽快执行此升级以降低风险。此外，请检查使用 SciTokens 的应用程序代码，以确保不存在与路径处理和输入验证相关的其他漏洞。实施强大的输入验证，包括令牌断言验证，是一种通用的安全最佳实践。