Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain
The debugger in affected versions of Werkzeug can allow an attacker to execute code on a developer's machine under some circumstances. This requires the attacker to get the developer to interact with a domain and subdomain they control, and enter the debugger PIN, but if they are successful it allows access to the debugger even if it is only running on localhost. This also requires the attacker to guess a URL in the developer's application that will trigger the debugger.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | werkzeug | < 3.0.3 | 3.0.3 |
Referencias
- https://github.com/pallets/werkzeug/security/advisories/GHSA-2g68-c3qc-8985
- https://nvd.nist.gov/vuln/detail/CVE-2024-34069
- https://github.com/pallets/werkzeug/commit/3386395b24c7371db11a5b8eaac0c91da5362692
- https://github.com/pallets/werkzeug
- https://lists.debian.org/debian-lts-announce/2025/02/msg00026.html
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/H4SH32AM3CTPMAAEOIDAN7VU565LO4IR
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HFERFN7PINV4MOGMGA3DPIXJPDCYOEJZ
- https://security.netapp.com/advisory/ntap-20240614-0004
- https://pypi.org/project/werkzeug
- https://github.com/advisories/GHSA-2g68-c3qc-8985
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-352- Plataforma
- Python (PyPI)
- Paquete
werkzeug- Publicada
- 06.05.2024
- Actualizado
- 11.10.2026 15:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-2043 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-2g68-c3qc-8985 - CC BY 4.0
Historial de vulnerabilidades: werkzeug
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 15
- Primera → última
- 10.2017 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 4
- Media 9
- Baja 1
- Sin evaluar 1
Divulgaciones por año
- 2017: 1
- 2018: 0
- 2019: 1
- 2020: 1
- 2021: 0
- 2022: 2
- 2023: 3
- 2024: 3
- 2025: 1
- 2026: 3
-
Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.