Mesop 存在一个 Path Traversal 漏洞，利用 `FileStateSessionBackend` 导致应用程序拒绝服务和文件写入/删除

该路径遍历漏洞的潜在影响非常严重。攻击者可以利用此漏洞读取敏感配置文件，篡改应用程序配置，甚至执行任意代码（如果能够控制读取的文件内容）。攻击者可以通过构造恶意的 state_token 来访问文件系统中的任何位置，从而绕过正常的访问控制机制。如果攻击者能够修改关键配置文件，则可能导致应用程序完全崩溃或被恶意控制。这种漏洞的风险类似于其他路径遍历漏洞，可能导致数据泄露、系统破坏和安全事件。

Organizations deploying mesop with the FileStateSessionBackend are at significant risk, particularly those running versions prior to 1.2.3. Shared hosting environments where multiple users share the same file system are especially vulnerable, as an attacker could potentially compromise other users' sessions.

• python / server:

import os
import subprocess

def check_mesop_version():
    try:
        result = subprocess.check_output(['mesop', '--version'], stderr=subprocess.STDOUT, text=True)
        version = result.strip()
        if version.startswith('1.2.2rc'):
            print(f"VULNERABLE: mesop version {version} detected.")
        elif version.startswith('1.2.3'):
            print(f"PATCHED: mesop version {version} detected.")
        else:
            print(f"mesop version {version} detected.  Check for updates.")
    except FileNotFoundError:
        print("mesop not found.  Check installation.")

check_mesop_version()

1. 2026-03-18Disclosure

   disclosure

1. 已保留2026-03-17
2. 发布日期2026-03-18
3. 修改日期2026-03-20
4. EPSS 更新日期2026-03-27

缓解此漏洞的首要措施是立即升级到 mesop 1.2.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 UI 流负载中 statetoken 的来源，确保其来自可信的来源。实施严格的文件访问控制，限制应用程序对文件系统的访问权限。监控应用程序日志，查找可疑的文件访问行为。如果使用文件状态会话后端，考虑使用更安全的会话管理机制。升级后，请验证修复是否有效，例如通过尝试使用恶意构造的 statetoken 访问受保护的文件。