CVE-2024-3408-dtale

CVE-2024-3408 - D-Tale 身份验证绕过与 RCE 用于复现 CVE-2024-3408 的可复现实验室环境，该漏洞是 D-Tale 中的身份验证绕过和远程代码执行漏洞。 漏洞 D-Tale 3.15.1 及更早版本存在漏洞，原因如下： 1. 硬编码的 SECRETKEY （"Dtale"）用于 Flask 会话签名——允许伪造会话 Cookie 2. 通过自定义过滤器执行代码 ——test-filter 端点使用 pandas query，可被滥用以执行任意 Python 代码 CVSS ：9.8（严重） 受影响版本 ：D-Tale = 3.15.1 快速开始...