FICHE CVE

CVE-2023-33175

Publiée le 2023-05-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites web conçus avec le package Python ToUI (versions 2.0.1 à 2.4.0) utilisant la propriété `Website.user_vars` sont sensibles à cette faille. Un attaquant distant non authentifié peut envoyer une requête réseau spécialement conçue pour prendre le contrôle total du système, lui permettant ainsi de lire ou de modifier des données sensibles. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables, l'exécution est triviale pour un attaquant si le serveur est exposé sur Internet.

CVSS 3.19.1 CRITIQUE

Type de faiblesse

CWE-914 CWE-913

Publiée2023-05-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

ToUI is a Python package for creating user interfaces (websites and desktop apps) from HTML. ToUI is using Flask-Caching (SimpleCache) to store user variables. Websites that use `Website.user_vars` property. It affects versions 2.0.1 to 2.4.0. This issue has been patched in version 2.4.1.