Średnia

file_open in Tryton 3.x and 4.x through 4.2.2 allows remote authenticated users with certain permissions to read arbitrary files via a "same root name but with a suffix" attack. NOTE: This vulnerabili

Ujawniono: 04.04.2017
Aktualizacja: 11.10.2026 12:20

file_open in Tryton 3.x and 4.x through 4.2.2 allows remote authenticated users with certain permissions to read arbitrary files via a "same root name but with a suffix" attack. NOTE: This vulnerability exists because of an incomplete fix for CVE-2016-1242.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	trytond	>= 3, < 4.2.3	4.2.3

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-269
Platforma: Python (PyPI)
Paczka: trytond
Ujawniono: 04.04.2017
Aktualizacja: 11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7cwg-2575-3546 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2017-97 - PyPA Advisory Database; CC BY 4.0

Historia podatności: trytond

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (14) w archiwum

Wszystkich wpisów: 14
Pierwsza → ostatnia: 07.2012 11.2025
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 7
Średnia 7

Ujawnienia w latach

2017: 1
2018: 1
2019: 2
2020: 0
2021: 0
2022: 2
2023: 0
2024: 0
2025: 3
2026: 0

wcześniej: 5

30.11.2025

trytond does not enforce access rights for the route of the HTML editor.

Wysoka · 7.1 CVE-2025-66423 >= 7.5.0, < 7.6.11, >= 7.1.0, < 7.4.21, >= 7.0.0, < 7.0.40, >= 6.0.0, < 6.0.70 7.6.11, 7.4.21, 7.0.40, 6.0.70
10.03.2022

XML Entity Expansion in trytond and proteus

Wysoka · 7.5 CVE-2022-26662 >= 5.0.0, < 5.0.46, >= 6.0.0, < 6.0.16, >= 6.1.0, < 6.2.6 5.0.46, 6.0.16, 6.2.6
21.11.2019

trytond 2.4: ModelView.button fails to validate authorization

Wysoka · 7.5 CVE-2012-2238 >= 2.4.0, < 2.4.2 2.4.2
05.04.2019

In trytond/model/modelstorage.py in Tryton 4.2 before 4.2.21, 4.4 before 4.4.19, 4.6 before 4.6.14, 4.8 before 4.8.10, and 5.0 before 5.0.6, an authenticated user can order records based on a field fo

Wysoka · 6.5 CVE-2019-10868 >= 4.2.0, < 4.2.21, >= 4.4.0, < 4.4.19, >= 4.6.0, < 4.6.14, >= 4.8.0, < 4.8.10, >= 5.0.0, < 5.0.6 4.2.21, 4.4.19, 4.6.14, 4.8.10, 5.0.6
12.04.2018

Tryton vulnerable to arbitrary command execution

Wysoka · 8.8 CVE-2014-6633 >= 2.4.0, < 2.4.15, >= 2.6.0, < 2.6.14, >= 2.8.0, < 2.8.11, >= 3.0.0, < 3.0.7, >= 3.2.0, < 3.2.3 2.4.15, 2.6.14, 2.8.11, 3.0.7, 3.2.3
04.04.2017

file_open in Tryton 3.x and 4.x through 4.2.2 allows remote authenticated users with certain permissions to read arbitrary files via a "same root name but with a suffix" attack. NOTE: This vulnerabili ten wpis

Średnia · 5.3 CVE-2017-0360 >= 3, < 4.2.3 4.2.3
18.11.2013

Tryton Directory Traversal vulnerability

Wysoka · 7.5 CVE-2013-4510 = 3.0.0 brak poprawki
12.07.2012

model/modelstorage.py in the Tryton application framework (trytond) before 2.4.0 for Python does not properly restrict access to the Many2Many field in the relation model, which allows remote authenti

Wysoka · 6.5 CVE-2012-0215 < 2.2.4 2.2.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację