CVE-2026-54567
Publiée le 2026-09-14 · Dernière modification le 2026-09-16
Les applications Flask utilisant la bibliothèque Flask-Reuploaded (versions 1.5.0 à 1.6.0) sont concernées si elles utilisent une liste noire pour bloquer les extensions de fichiers dangereuses. Un attaquant authentifié capable de spécifier un nom de fichier personnalisé peut contourner ces filtres en utilisant des extensions avec une casse mixte (comme .pHp), permettant potentiellement le téléchargement d'un script malveillant qui s'exécuterait avec les privilèges du serveur web. Il s'agit d'une attaque complexe qui nécessite un accès réseau, des identifiants d'utilisateur valides et un environnement serveur qui ne fait pas de distinction entre majuscules et minuscules pour les extensions de fichiers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Flask-Reuploaded provides file uploads for Flask. From 1.5.0 until 1.6.0, UploadSet.save(storage, name=...) in src/flask_uploads/flask_uploads.py applies lowercase_ext to the default upload path but uses the case-preserving extension helper for a caller-supplied name before extension_allowed evaluates an AllExcept denylist. An attacker who controls the name override can use a mixed-case dangerous extension to bypass a lowercase denylist and store the file in the served upload directory. Exploitation requires a denylist configuration, a user-influenced name override, and a deployment that resolves or executes extensions case-insensitively; pure allowlists remain protected and path containment is not bypassed. On an execution-capable upload directory, the stored file can execute with the web server's privileges and affect confidentiality, integrity, and availability. This issue is fixed in version 1.6.0.