BDU:2026-01058

Уязвимость конфигурации UPLOAD_DIR и UPLOAD_KEEP_FILENAME=True потокового многокомпонентного парсера python-multipart, позволяющая нарушителю записывать произвольные файлы

Опубликовано: 2026-01-30

Описание

Уязвимость конфигурации UPLOAD_DIR и UPLOAD_KEEP_FILENAME=True потокового многокомпонентного парсера python-multipart связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записывать произвольные файлы

Затрагиваемое ПО и версии

Python-multipart (до 0.0.22)

Способ устранения

Использование рекомендаций:
https://github.com/Kludex/python-multipart/commit/9433f4bbc9652bdde82bbe380984e32f8cfc89c4
https://github.com/Kludex/python-multipart/releases/tag/0.0.22
https://github.com/Kludex/python-

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

https://github.com/Kludex/python-multipart/commit/9433f4bbc9652bdde82bbe380984e32f8cfc89c4 https://github.com/Kludex/python-multipart/releases/tag/0.0.22 https://github.com/Kludex/python-multipart/security/advisories/GHSA-wp53-j4wj-2cfg

Проверьте безопасность своего сайта и почты → Полная проверка домена