IPython vulnerable to cross site request forgery (CSRF)

CVE-2015-5607 → 在 GitHub 查看 ↗ 在 CVE.org 查看 ↗ 在 NVD 查看 ↗

描述

IPython (Interactive Python) is a command shell. Cross-site request forgery in the REST API is possible in in IPython 2 and 3. Versions 2.4.1 and 3.2.3 contain patches.

基本信息

类型: reviewed
严重度: high
GitHub 上的公告: 打开公告 ↗
仓库公告: —
源代码: 浏览源码 ↗
公开（公告）: 2022-05-17 00:35:13 UTC
更新时间: 2024-09-27 15:40:37 UTC
GitHub 审核: 2022-06-03 15:42:47 UTC
NVD 公开: 2017-09-20

EPSS Score

Score	Percentile
0.26%	48.73%

CVSS Scores

Base score	Version	Severity	Vector
8.8	3.0	—	`CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H` 点击展开攻击向量 (AV:N) 经互联网或企业内可路由网段即可从远端触达，攻击者不必出现在设备旁。攻击复杂度 (AC:L) 前置条件清晰，成功路径稳定，不依赖罕见竞态或苛刻环境。权限要求 (PR:N) 不必事先登录或提权，匿名会话也可能成为跳板。用户交互 (UI:R) 需要一次明确的用户动作（安装、改配置、打开恶意文档等）才会落地。作用域 (S:U) 破坏局限在脆弱组件原本的安全权限与信任域之内。机密性影响 (C:H) 批量读取、导出或长期潜伏窃取机密数据，在实战上成立。完整性影响 (I:H) 可篡改审计日志、植入后门或大面积伪造业务数据，动摇信任根基。可用性影响 (A:H) 可造成长时间中断、关键事务无法完成，或伴随数据损毁导致难以自愈。
8.6	4.0	—	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N` 点击展开攻击向量 (AV:N) 经互联网或企业可路由网段即可远程触达，攻击者不必出现在设备旁。攻击复杂度 (AC:L) 步骤短、路径清晰，复现成本低。攻击要求 (AT:N) 除网络可达外，不必额外凑齐罕见基础设施或数据形态。权限要求 (PR:N) 匿名或普通会话即可起步，不必事先提权。用户交互 (UI:A) 需一次明确的主动操作（改配置、装插件、点高危按钮等）。受影响系统的机密性影响 (VC:H) 面向批量窃取、长期潜伏或横向搬运机密数据，在实战上成立。受影响系统的完整性影响 (VI:H) 可篡改审计链、植入后门或大面积伪造业务数据，动摇信任根基。受影响系统的可用性影响 (VA:H) 可造成长时间中断、关键事务无法完成，或伴随数据损毁导致难以自愈。后续系统的机密性影响 (SC:N) 经脆弱点波及下游后，几乎读不走有价值的机密数据。后续系统的完整性影响 (SI:N) 下游记录与业务规则几乎不被撼动。后续系统的可用性影响 (SA:N) 下游不至于被拖到长时间瘫痪。

Identifiers

Type	Value
GHSA	GHSA-7fc2-rm35-2pp7 ↗
CVE	CVE-2015-5607 ↗

CWEs

CWE id	Name
CWE-352	Cross-Site Request Forgery (CSRF)

Affected packages (2)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem	Package	Vulnerable range	First patched	Vulnerable functions
pip	ipython	>= 0.12, < 2.4.1	2.4.1	—
pip	ipython	>= 3.0.0, < 3.2.3	3.2.3	—

References

cvelogic Threat Intelligence