Wysoka

Tryton vulnerable to arbitrary command execution

Ujawniono: 12.04.2018
Aktualizacja: 11.10.2026 14:17

The safe_eval function in trytond in Tryton before 2.4.15, 2.6.x before 2.6.14, 2.8.x before 2.8.11, 3.0.x before 3.0.7, and 3.2.x before 3.2.3 allows remote authenticated users to execute arbitrary commands via shell metacharacters in (1) the collection.domain in the webdav module or (2) the formula field in the price_list module.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	tryton	< 2.4.15, >= 2.6.0, < 2.6.14, >= 2.8.0, < 2.8.11, >= 3.2.0, < 3.2.3	2.4.15, 2.6.14, 2.8.11, 3.2.3
Python (PyPI)	trytond	>= 2.4.0, < 2.4.15, >= 2.6.0, < 2.6.14, >= 2.8.0, < 2.8.11, >= 3.0.0, < 3.0.7, >= 3.2.0, < 3.2.3	2.4.15, 2.6.14, 2.8.11, 3.0.7, 3.2.3

Odnośniki

Ocena CVSS 8.8/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-77
Platforma: Python (PyPI)
Paczka: tryton, trytond
Ujawniono: 12.04.2018
Aktualizacja: 11.10.2026 14:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2018-59 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m9jj-5qvj-5fhx - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-3390 - PyPA Advisory Database; CC BY 4.0

Historia podatności: tryton

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 7
Pierwsza → ostatnia: 11.2013 03.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4
Średnia 3

Ujawnienia w latach

2017: 0
2018: 2
2019: 0
2020: 0
2021: 0
2022: 2
2023: 0
2024: 0
2025: 0
2026: 0

wcześniej: 3

10.03.2022

XML Entity Expansion in trytond and proteus

Wysoka · 7.5 CVE-2022-26662 >= 5.0.0, < 5.0.12, >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.2, >= 6.2.0, < 6.2.6, >= 6.2.0, < 6.0.16, >= 6.2.0, < 5.0.46 5.0.12, 6.0.5, 6.2.2, 6.2.6, 6.0.16, 5.0.46
10.03.2022

Improper Restriction of XML External Entity Reference in trytond and proteus

Średnia · 6.5 CVE-2022-26661 >= 5.0.0, < 5.0.12, >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.2, >= 6.2.0, < 6.2.6, >= 6.2.0, < 6.0.16, >= 6.2.0, < 5.0.46 5.0.12, 6.0.5, 6.2.2, 6.2.6, 6.0.16, 5.0.46
22.11.2018

Session Fixation in Tryton

Wysoka · 5.9 CVE-2018-19443 >= 5.0.0, < 5.0.1 5.0.1
12.04.2018

Tryton vulnerable to arbitrary command execution ten wpis

Wysoka · 8.8 CVE-2014-6633 < 2.4.15, >= 2.6.0, < 2.6.14, >= 2.8.0, < 2.8.11, >= 3.2.0, < 3.2.3 2.4.15, 2.6.14, 2.8.11, 3.2.3
07.09.2016

Tryton 3.x before 3.2.17, 3.4.x before 3.4.14, 3.6.x before 3.6.12, 3.8.x before 3.8.8, and 4.x before 4.0.4 allow remote authenticated users to discover user password hashes via unspecified vectors.

Średnia · 5.3 CVE-2016-1241 < 3.2.17 3.2.17
07.09.2016

file_open in Tryton before 3.2.17, 3.4.x before 3.4.14, 3.6.x before 3.6.12, 3.8.x before 3.8.8, and 4.x before 4.0.4 allows remote authenticated users with certain permissions to read arbitrary files

Średnia · 4.4 CVE-2016-1242 < 3.2.17 3.2.17
18.11.2013

Tryton Directory Traversal vulnerability

Wysoka · 7.5 CVE-2013-4510 < 3.0.1 3.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację