Taipy contains a path traversal vulnerability
Taipy 4.1.1, fixed in commit 129fd40, contains a path traversal vulnerability in the ElementLibrary.get_resource() method in taipy/gui/extension/library.py that allows unauthenticated attackers to escape the intended module directory by exploiting an incomplete path containment check using str.startswith() without a trailing path separator. Attackers can send crafted GET requests with path traversal segments targeting a prefix-matching sibling directory on disk, bypassing the directory containment check because Flask's path converter and Werkzeug's WSGI layer preserve the traversal segments while the resolved path still satisfies the flawed startswith comparison, enabling unauthorized file access outside the intended library directory.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | taipy | <= 4.1.1 | sin corrección |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-48544
- https://github.com/Avaiga/taipy/issues/2868
- https://github.com/Avaiga/taipy/pull/2871
- https://github.com/Avaiga/taipy/commit/129fd407ffca49ee4ab853772c88d0c873e038dd
- https://github.com/Avaiga/taipy
- https://www.vulncheck.com/advisories/taipy-path-traversal-via-elementlibrary-get-resource
- https://pypi.org/project/taipy
- https://github.com/advisories/GHSA-28gh-q3gw-pvx8
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-22- Plataforma
- Python (PyPI)
- Paquete
taipy- Publicada
- 27.05.2026
- Actualizado
- 11.10.2026 14:18
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-3081 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-28gh-q3gw-pvx8 - CC BY 4.0
Historial de vulnerabilidades: taipy
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 08.2024 05.2026
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 2
- Media 1
Divulgaciones por año
- 2024: 2
- 2025: 0
- 2026: 1
-
Taipy contains a path traversal vulnerability esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.