Descripción
El paquete de Python thumbnail hasta la versión 1.5 contiene una vulnerabilidad de inyección de comandos del sistema operativo en generate_thumbnail() que permite a atacantes ejecutar comandos al incluir metacaracteres de shell en las rutas de archivo. Los atacantes que controlen un nombre de archivo pasado a generate_thumbnail, como un archivo cargado, pueden inyectar comandos en llamadas a os.system() que ejecutan ffmpeg, convert o unoconv con los privilegios del proceso de Python.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- thumbnail Afectadas: hasta 1.5
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Parchegithub.com/anshulkharb/thumbnail/pull/9
- Referencia en github.comgithub.com/anshulkharb/thumbnail/blob/23b2e30509c936872a3bafac65b4aa4…
- Aviso de vulncheck.comvulncheck.com/advisories/thumbnail-through-1.5-os-command-injection-v…
Ver el texto original en inglés (CVE.org)
Thumbnail through 1.5 OS Command Injection via generate_thumbnail File Paths
The thumbnail Python package through 1.5 contains an OS command injection vulnerability in generate_thumbnail() that allows attackers to execute commands by supplying shell metacharacters in file paths. Attackers who control a file name passed to generate_thumbnail, such as an uploaded file, can inject commands into os.system() calls running ffmpeg, convert or unoconv with the Python process privileges.