Zaloguj się
Deutsch English Español Polski
Wysoka

Session Fixation in Tryton

  • Ujawniono: 22.11.2018
  • Aktualizacja: 11.10.2026 11:20

The client in Tryton 5.x before 5.0.1 tries to make a connection to the bus in cleartext instead of encrypted under certain circumstances in bus.py and jsonrpc.py. This connection attempt fails, but it contains in the header the current session of the user. This session could then be stolen by a man-in-the-middle.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) tryton >= 5.0.0, < 5.0.1 5.0.1

Odnośniki

Ocena CVSS 5.9/10
Wektor CVSS
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-384
Platforma
Python (PyPI)
Paczka
tryton
Ujawniono
22.11.2018
Aktualizacja
11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2018-77 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-32w7-9whp-cjp9 - CC BY 4.0

Historia podatności: tryton

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
7
Pierwsza → ostatnia
11.2013 03.2022
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 4
  • Średnia 3

Ujawnienia w latach

wcześniej: 3

  1. XML Entity Expansion in trytond and proteus
    Wysoka · 7.5 CVE-2022-26662 >= 5.0.0, < 5.0.12, >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.2, >= 6.2.0, < 6.2.6, >= 6.2.0, < 6.0.16, >= 6.2.0, < 5.0.46 5.0.12, 6.0.5, 6.2.2, 6.2.6, 6.0.16, 5.0.46
  2. Improper Restriction of XML External Entity Reference in trytond and proteus
    Średnia · 6.5 CVE-2022-26661 >= 5.0.0, < 5.0.12, >= 6.0.0, < 6.0.5, >= 6.2.0, < 6.2.2, >= 6.2.0, < 6.2.6, >= 6.2.0, < 6.0.16, >= 6.2.0, < 5.0.46 5.0.12, 6.0.5, 6.2.2, 6.2.6, 6.0.16, 5.0.46
  3. Session Fixation in Tryton ten wpis
    Wysoka · 5.9 CVE-2018-19443 >= 5.0.0, < 5.0.1 5.0.1
  4. Tryton vulnerable to arbitrary command execution
    Wysoka · 8.8 CVE-2014-6633 < 2.4.15, >= 2.6.0, < 2.6.14, >= 2.8.0, < 2.8.11, >= 3.2.0, < 3.2.3 2.4.15, 2.6.14, 2.8.11, 3.2.3
  5. Tryton 3.x before 3.2.17, 3.4.x before 3.4.14, 3.6.x before 3.6.12, 3.8.x before 3.8.8, and 4.x before 4.0.4 allow remote authenticated users to discover user password hashes via unspecified vectors.
    Średnia · 5.3 CVE-2016-1241 < 3.2.17 3.2.17
  6. file_open in Tryton before 3.2.17, 3.4.x before 3.4.14, 3.6.x before 3.6.12, 3.8.x before 3.8.8, and 4.x before 4.0.4 allows remote authenticated users with certain permissions to read arbitrary files
    Średnia · 4.4 CVE-2016-1242 < 3.2.17 3.2.17
  7. Tryton Directory Traversal vulnerability
    Wysoka · 7.5 CVE-2013-4510 < 3.0.1 3.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.