Średnia

Potential log injection in reset user endpoint in CKAN

Ujawniono: 13.03.2024
Aktualizacja: 11.10.2026 15:17

A user endpoint didn't perform filtering on an incoming parameter, which was added directly to the application log. This could lead to an attacker injecting false log entries or corrupt the log file format.

Patches

This has been fixed in the CKAN 2.9.11 and 2.10.4 versions

Workarounds

Override the /user/reset endpoint to filter the id parameter in order to exclude newlines

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	ckan	< 2.9.11, >= 2.10.0, < 2.10.4	2.9.11, 2.10.4

Odnośniki

Ocena CVSS 4.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE): CWE-117, CWE-532
Platforma: Python (PyPI)
Paczka: ckan
Ujawniono: 13.03.2024
Aktualizacja: 11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1251 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8g38-3m6v-232j - CC BY 4.0

Historia podatności: ckan

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (15) w archiwum

Wszystkich wpisów: 15
Pierwsza → ostatnia: 12.2021 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 3
Średnia 11

Ujawnienia w latach

2021: 1
2022: 1
2023: 2
2024: 4
2025: 3
2026: 4

29.04.2026

CKAN has Unauthenticated SQL Injection and Authorization Bypass in `datastore_search_sql`

Wysoka CVE-2026-42031 < 2.10.10, >= 2.11.0, < 2.11.5 2.10.10, 2.11.5
05.02.2025

CKAN has an XSS vector in user uploaded images in group/org and user profiles

Wysoka · 7.3 CVE-2025-24372 < 2.10.7, >= 2.11.0, < 2.11.2 2.10.7, 2.11.2
13.03.2024

Potential log injection in reset user endpoint in CKAN ten wpis

Średnia · 4.3 CVE-2024-27097 < 2.9.11, >= 2.10.0, < 2.10.4 2.9.11, 2.10.4
24.05.2023

Ckan remote code execution and private information access via crafted resource ids

Krytyczna · 9.8 CVE-2023-32321 < 2.9.9, = 2.10.0 2.9.9
22.11.2022

CKAN through 2.9.6 account takeovers by unauthenticated users when an existing user id is sent via an HTTP POST request. This allows a user to take over an existing account including superuser account

Wysoka · 8.8 CVE-2022-43685 < 2.9.7 2.9.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację