Shamefile has an arbitrary file read via shamefile.yaml in shame next
Impact
A path traversal vulnerability in shame next allows an attacker-controlled shamefile.yaml to disclose contents of files outside the repository, one line at a time, to the terminal of a user who runs the command. See patch commit for technical details.
Patches
Fixed in 0.1.7. Upgrade to either 0.1.7 or later versions to incorporate the patch.
Workarounds
Do not run shame next against untrusted shamefile.yaml. Use shame me --dry-run for CI validation.
Resources
- Patch commit: https://github.com/BKDDFS/shamefile/commit/77b0aeea318503582818c708518c601fedc43557
- Pull request: https://github.com/BKDDFS/shamefile/pull/80
- Release: https://github.com/BKDDFS/shamefile/releases/tag/v0.1.7
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | shamefile | < 0.1.7 | 0.1.7 |
| Python (PyPI) | shamefile | < 0.1.7 | 0.1.7 |
Odnośniki
- https://github.com/BKDDFS/shamefile/security/advisories/GHSA-x6p3-76f2-xxvh
- https://nvd.nist.gov/vuln/detail/CVE-2026-47144
- https://github.com/BKDDFS/shamefile/pull/80
- https://github.com/BKDDFS/shamefile/commit/77b0aeea318503582818c708518c601fedc43557
- https://github.com/BKDDFS/shamefile
- https://github.com/BKDDFS/shamefile/releases/tag/v0.1.7
- https://github.com/pypa/advisory-database/tree/main/vulns/shamefile/PYSEC-2026-3065.yaml
- https://pypi.org/project/shamefile
- https://github.com/advisories/GHSA-x6p3-76f2-xxvh
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-22- Platforma
- npm, Python (PyPI)
- Paczka
shamefile- Ujawniono
- 28.05.2026
- Aktualizacja
- 11.10.2026 14:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-3065 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-x6p3-76f2-xxvh - CC BY 4.0
Historia podatności: shamefile
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.