IPython vulnerable to cross site request forgery (CSRF)

CVE-2015-5607 → 在 GitHub 檢視 ↗ 在 CVE.org 檢視 ↗ 在 NVD 檢視 ↗

描述

IPython (Interactive Python) is a command shell. Cross-site request forgery in the REST API is possible in in IPython 2 and 3. Versions 2.4.1 and 3.2.3 contain patches.

基本資訊

類型: reviewed
嚴重度: high
GitHub 上的公告: 開啟公告 ↗
儲存庫公告: —
原始碼: 瀏覽原始碼 ↗
公開（公告）: 2022-05-17 00:35:13 UTC
更新時間: 2024-09-27 15:40:37 UTC
GitHub 審核: 2022-06-03 15:42:47 UTC
NVD 公開: 2017-09-20

EPSS Score

Score	Percentile
0.26%	48.73%

CVSS Scores

Base score	Version	Severity	Vector
8.8	3.0	—	`CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H` 點擊展開攻擊向量 (AV:N) 可經網際網路或企業內可路由網段從遠端觸達，攻擊者不必在裝置旁邊。攻擊複雜度 (AC:L) 前置條件清楚，成功路徑穩定，不必仰賴罕見競態或極端環境。權限需求 (PR:N) 不必事先登入或提權，匿名工作階段也可能成為跳板。使用者互動 (UI:R) 需要一次明確的使用者動作（安裝、改設定、開啟惡意文件等）才會落地。作用域 (S:U) 破壞局限在脆弱元件原本的安全權限與信任域之內。機密性影響 (C:H) 大量讀取、匯出或長期潛伏竊取機敏資料，在實務上成立。完整性影響 (I:H) 可竄改稽核紀錄、植入後門或大面積偽造業務資料，動搖信任根基。可用性影響 (A:H) 可造成長時間中斷、關鍵交易無法完成，或伴隨資料毀損導致難以自癒。
8.6	4.0	—	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N` 點擊展開攻擊向量 (AV:N) 可經網際網路或企業可路由網段遠端觸達，攻擊者不必在裝置旁邊。攻擊複雜度 (AC:L) 步驟短、路徑清楚，重現成本低。攻擊要件 (AT:N) 除網路可達外，不必額外湊齊罕見基礎設施或資料形態。權限需求 (PR:N) 匿名或一般工作階段即可起步，不必事先提權。使用者互動 (UI:A) 需一次明確的主動操作（改設定、裝外掛、點高風險按鈕等）。受影響系統的機密性影響 (VC:H) 面向大量竊取、長期潛伏或橫向搬運機密資料，在實務上成立。受影響系統的完整性影響 (VI:H) 可竄改稽核鏈、植入後門或大面積偽造業務資料，動搖信任根基。受影響系統的可用性影響 (VA:H) 可造成長時間中斷、關鍵交易無法完成，或伴隨資料毀損導致難以自癒。後續系統的機密性影響 (SC:N) 經脆弱點波及下游後，幾乎讀不走有價值的機密資料。後續系統的完整性影響 (SI:N) 下游紀錄與業務規則幾乎不被撼動。後續系統的可用性影響 (SA:N) 下游不至於被拖到長時間癱瘓。

Identifiers

Type	Value
GHSA	GHSA-7fc2-rm35-2pp7 ↗
CVE	CVE-2015-5607 ↗

CWEs

CWE id	Name
CWE-352	Cross-Site Request Forgery (CSRF)

Affected packages (2)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem	Package	Vulnerable range	First patched	Vulnerable functions
pip	ipython	>= 0.12, < 2.4.1	2.4.1	—
pip	ipython	>= 3.0.0, < 3.2.3	3.2.3	—

References

cvelogic Threat Intelligence