CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 1CVE-2019-12761
https://notcve.org/view.php?id=CVE-2019-12761
A code injection issue was discovered in PyXDG before 0.26 via crafted Python code in a Category element of a Menu XML document in a .menu file. XDG_CONFIG_DIRS must be set up to trigger xdg.Menu.parse parsing within the directory containing this file. This is due to a lack of sanitization in xdg/Menu.py before an eval call. Se descubrió un problema de inyección de código en PyXDG antes de 0.26 a través del código Python creado en un elemento de Categoría de un documento de Menú XML en un archivo .menú. XDG_CONFIG_DIRS debe configurarse para activar el análisis xdg.Menu.parse dentro del directorio que contiene este archivo. • https://gist.github.com/dhondta/b45cd41f4186110a354dc7272916feba https://lists.debian.org/debian-lts-announce/2019/06/msg00006.html https://lists.debian.org/debian-lts-announce/2021/08/msg00003.html https://snyk.io/vuln/SNYK-PYTHON-PYXDG-174562 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 3.3EPSS: 0%CPEs: 1EXPL: 0CVE-2014-1624
https://notcve.org/view.php?id=CVE-2014-1624
Race condition in the xdg.BaseDirectory.get_runtime_dir function in python-xdg 0.25 allows local users to overwrite arbitrary files by pre-creating /tmp/pyxdg-runtime-dir-fallback-victim to point to a victim-owned location, then replacing it with a symlink to an attacker-controlled location once the get_runtime_dir function is called. Condición de carrera en la función xdg.BaseDirectory.get_runtime_dir en python-xdg 0.25 permite a usuarios locales sobreescribir archivos arbitrarios mediante la pre-creación /tmp/pyxdg-runtime-dir-fallback-victim para apuntar a una localización victim-owned, después reemplazándolo con un symlink hacia una localización controlada por el atacante una vez es llamada la función get_runtime_dir. • http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=736247 http://www.openwall.com/lists/oss-security/2014/01/21/3 http://www.openwall.com/lists/oss-security/2014/01/21/4 http://www.securityfocus.com/bid/65042 https://exchange.xforce.ibmcloud.com/vulnerabilities/90618 • CWE-59: Improper Link Resolution Before File Access ('Link Following') •