Açıklama

An Improper Input Validation vulnerability (CWE-20) in Archmonger ServeStatic allows remote unauthenticated attackers to cause an unhandled ValueError (500 crash) by sending a request path containing an embedded NUL byte that survives path normalization. In deployments where DEBUG=True or autorefresh is enabled, this unhandled exception crashes request handling and renders Django's technical debug page, exposing system file paths, installed apps, and environment configuration.

CVSS Vektörü

Birincil değerlendirmeGitHub Advisory · 5.3 MediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
AV: Ağ (Network)AC: Düşük (Low)PR: Yok (None)UI: Yok (None)S: Değişmez (Unchanged)C: Yok (None)I: Yok (None)A: Düşük (Low)

Bildirim Durumu

Etkilenen sürümler
< 4.3.4 (verified against v4.3.3 / commit ea6828f)
Yama durumu
Fixed in >= 4.3.4
Üretici yanıtı
Upstream patch released in Archmonger/ServeStatic >= 4.3.4 via advisory GHSA-q353-2cxp-ppfh
Birincil puan kaynağı
GitHub Advisory

Referanslar

Kayıt Doğrulama

KrediBulan ve bildiren: Sevban DÖNMEZ
YayınlanmaCVE kimliği atandı; CVE.org kaydı henüz yayımlanmadı
KontrolÜst kaynaktaki düzeltme ve referanslar son olarak 2026-09-17 tarihinde kontrol edildi

Bildirim Zaman Çizelgesi

2026-09-17Security advisory — Security advisory GHSA-q353-2cxp-ppfh published on GitHub and CVE-2026-91117 assigned. Kaynak ↗