Kritisch

toui allows user-specific variables to be shared between users

Veröffentlicht: 24.05.2023
Aktualisiert: 11.10.2026 13:17

Impact

Websites that use Website.user_vars property in versions.

Patches

It affects versions v2.0.1 to v2.4.0. Please upgrade to v2.4.1

Workarounds

Do not use Website.user_vars in websites when using versions v2.0.1 to v2.4.0. Also, do not use Website.signin_user() in version v2.4.0 only.

Explanation

ToUI is using Flask-Caching (SimpleCache) to store user variables. My misunderstanding was that these caches are stored in the client's browser, but it seems that these are stored in the server side.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	toui	>= 2.0.1, < 2.4.1	2.4.1

Verweise

CVSS-Wert 9.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE): CWE-913, CWE-914
Plattform: Python (PyPI)
Paket: toui
Veröffentlicht: 24.05.2023
Aktualisiert: 11.10.2026 13:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hh7j-pg39-q563 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-555 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: toui

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Dies ist die einzige bekannte Schwachstelle dieses Pakets.

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden