Anki Latex Incomplete Blocklist Vulnerability
An vulnerability in the handling of Latex exists in Ankitects Anki 24.04. When Latex is sanitized to prevent unsafe commands, the verbatim package, which comes installed by default in many Latex distributions, has been overlooked. A specially crafted flashcard can lead to an arbitrary file read. An attacker can share a flashcard to trigger this vulnerability.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | anki | < 24.6 | 24.6 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2024-29073
- https://github.com/ankitects/anki/pull/3218
- https://github.com/ankitects/anki/commit/06f7aa393d21d7d5dd8039e15d543b73c3346932
- https://github.com/ankitects/anki
- https://skerritt.blog/anki-0day
- https://skii.dev/anki-0day
- https://talosintelligence.com/vulnerability_reports/TALOS-2024-1992
- https://pypi.org/project/anki
- https://github.com/advisories/GHSA-x3r6-ccvq-cf5v
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-829- Platforma
- Python (PyPI)
- Paczka
anki- Ujawniono
- 22.07.2024
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1118 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-x3r6-ccvq-cf5v - CC BY 4.0
Historia podatności: anki
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 07.2024 07.2024
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 1
- Niska 1
Ujawnienia w latach
- 2024: 3
- 2025: 0
- 2026: 0
-
Anki Latex Incomplete Blocklist Vulnerability ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.