Authentication bypass in dtale
man-group/dtale version 3.10.0 is vulnerable to an authentication bypass and remote code execution (RCE) due to improper input validation. The vulnerability arises from a hardcoded SECRET_KEY in the flask configuration, allowing attackers to forge a session cookie if authentication is enabled. Additionally, the application fails to properly restrict custom filter queries, enabling attackers to execute arbitrary code on the server by bypassing the restriction on the /update-settings endpoint, even when enable_custom_filters is not enabled. This vulnerability allows attackers to bypass authentication mechanisms and execute remote code on the server.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | dtale | <= 3.10.0 | keine Korrektur |
Verweise
- https://huntr.com/bounties/57a06666-ff85-4577-af19-f3dfb7b02f91
- https://github.com/man-group/dtale/commit/32bd6fb4a63de779ff1e51823a456865ea3cbd13
- https://github.com/advisories/GHSA-v9q6-fm48-rx74
- https://nvd.nist.gov/vuln/detail/CVE-2024-3408
- https://github.com/man-group/dtale
- https://github.com/pypa/advisory-database/tree/main/vulns/dtale/PYSEC-2024-117.yaml
- CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-20, CWE-798- Plattform
- Python (PyPI)
- Paket
dtale- Veröffentlicht
- 06.06.2024
- Aktualisiert
- 11.10.2026 12:20
Quellen und Lizenzen
OSV / GitHub Advisory Database - PYSEC-2024-117 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-v9q6-fm48-rx74 - CC BY 4.0
Schwachstellenhistorie: dtale
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 8
- Erste → letzte
- 10.2023 04.2026
- Ohne Fix
- 1
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 3
- Mittel 5
Veröffentlichungen pro Jahr
- 2023: 1
- 2024: 5
- 2025: 0
- 2026: 2
-
Authentication bypass in dtale dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.