IT-Sentinel

« BACK_TO_HOME

PUBLISHED

2026-01-08 19:15

MODIFIED

2026-01-08 19:15

CVSS_SCORE V3

6.3

EPSS (Prob. Exploit)

0.48%

Top 58.7%

DATA SOURCES:

NVD 🔗 2026-01-08 CVE PROJECT 🔗 2026-01-19 CWE MITRE 🔗 2026-11-01 FIRST EPSS 🔗 2026-11-08 GITHUB 🔗 2026-10-28 OSV 🔗 2026-11-08 MSRC 🔗 2026-11-02

> DESCRIPTION

Werkzeug is a comprehensive WSGI web application library. Prior to version 3.1.5, Werkzeug's safe_join function allows path segments with Windows device names that have file extensions or trailing spaces. On Windows, there are special device names such as CON, AUX, etc that are implicitly present and readable in every directory. Windows still accepts them with any file extension, such as CON.txt, or trailing spaces such as CON. This issue has been patched in version 3.1.5.

> AFFECTED_PRODUCTS

ℹ️ Aucun produit affecté n'a encore été publié par NVD pour cette CVE.

> CVSS V3 METRICS

CVSS_VECTOR

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

> MÉTRIQUES CVSS DÉTAILLÉES

                CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
            

Métrique	Valeur	Interprétation
AV (Vecteur d'Attaque) Attack Vector	Network (N)	Exploit possible à distance via réseau (HTTP, API, etc.)
AC (Complexité d'Attaque) Attack Complexity	Low (L)	Peu de conditions requises pour exploiter
PR (Privilèges Requis) Privileges Required	None (N)	Aucune authentification requise
UI (Interaction Utilisateur) User Interaction	None (N)	Aucune interaction utilisateur nécessaire
S (Périmètre) Scope	Unchanged (U)	Impact reste dans le périmètre du composant compromis
C (Impact Confidentialité) Confidentiality Impact	None (N)	Aucune divulgation d'informations
I (Impact Intégrité) Integrity Impact	None (N)	Aucune modification de données possible
A (Impact Disponibilité) Availability Impact	Low (L)	Interruption partielle du service possible

> RÉSUMÉ DES IMPACTS

Confidentialité

None

Aucune divulgation d'informations

Intégrité

None

Aucune modification de données possible

Disponibilité

Low

Interruption partielle du service possible

> WEAKNESSES

CWE-67

> CWE DETAILED DESCRIPTIONS

CWE-67: Improper Handling of Windows Device Names - The product constructs pathnames from user input, but it does not handle or incorrectly handles a pathname containing a Windows device name such as AUX or CON. This typically leads to denial of service or an information exposure when the application attempts to process the pathname as a regular file.

> GITHUB SECURITY ADVISORY

GHSA-87hc-h4r5-73f7 MODERATE

Werkzeug safe_join() allows Windows special device names with compound extensions

AFFECTED PACKAGES:

PIP / Werkzeug

< 3.1.5

Fixed in: 3.1.5

> OSV (GOOGLE OPEN SOURCE VULNERABILITIES)

Werkzeug safe_join() allows Windows special device names with compound extensions

AFFECTED PACKAGES:

Unknown / Unknown

28 versions affected

ALIASES:

GHSA-87hc-h4r5-73f7, PYSEC-2026-2044

> HISTORIQUE DES MODIFICATIONS

Première apparition

08/01/2026 19:15

Source: NVD

📊 ENRICHISSEMENT 01/02/2026 06:44

CWE

Champ modifié: Description CWE

Ancienne valeur:

N/A

Nouvelle valeur:

📊 ENRICHISSEMENT 19/01/2026 17:38

CVEPROJECT

Champ modifié: CVE Project