BBOT: Arbitrary File Write in postman_download Module
The postman_download module uses the workspace name field from the Postman API to construct the local directory path without sanitization. If a malicious workspace has a name containing path traversal characters, pathlib resolves the path outside the intended output directory, allowing an attacker to write arbitrary files to the user's system.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | bbot | >= 2.1.0, < 2.8.6 | 2.8.6 |
Odnośniki
- https://github.com/blacklanternsecurity/bbot/security/advisories/GHSA-m54h-vhf9-3w3m
- https://nvd.nist.gov/vuln/detail/CVE-2026-12568
- https://github.com/blacklanternsecurity/bbot/commit/36bc20818
- https://github.com/blacklanternsecurity/bbot
- https://pypi.org/project/bbot
- https://github.com/advisories/GHSA-m54h-vhf9-3w3m
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N- Słabość (CWE)
CWE-125, CWE-22, CWE-73- Platforma
- Python (PyPI)
- Paczka
bbot- Ujawniono
- 18.06.2026
- Aktualizacja
- 11.10.2026 14:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-2393 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-m54h-vhf9-3w3m - CC BY 4.0
Historia podatności: bbot
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 10
- Pierwsza → ostatnia
- 10.2025 07.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Średnia 4
- Niska 4
Ujawnienia w latach
- 2025: 4
- 2026: 6
-
BBOT: Arbitrary File Write in postman_download Module ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.