CVE-2024-34069

highPriorität · verfolgen · 11EPSS 0.034 · 89. PerzentilExploit · funktionalDEEUNLRUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · funktional

Likely / severe?

3.40% (89th) EPSS

CVSS 7.5 · high

Is it mine?

20 products

Prüfe deine Angriffsfläche

Who says so?

7 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-22

Werkzeug is a comprehensive WSGI web application library. The debugger in affected versions of Werkzeug can allow an attacker to execute code on a developer's machine under some circumstances. This requires the attacker to get the developer to interact with a domain and subdomain they control, and enter the debugger PIN, but if they are successful it allows access to the debugger even if it is only running on localhost. This also requires the attacker to guess a URL in the developer's application that will trigger the debugger. This vulnerability is fixed in 3.0.3.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.17.5highAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · security-advisories@github.comAusnutzbarkeit 1.6 · Auswirkung 5.9

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · OSV

v3.17.3highCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:Fsecondary · CVSS-BT (t0sche)

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · NCSC-NL NL

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-352USCWE-352USCWE-352USCWE-352US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/multi/http/werkzeug_debug_rcePallete Projects Werkzeug Debugger Remote Code Executionfunktional · metasploit

betroffene Produkte (20)

Betroffene Produkte und Versionsbereiche.

Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
SUSE openSUSEalle Versionencert_bundDEcpe:/o:suse:opensuse:-
IBM Spectrum Protect Plus< 10.1.17cert_bundDE
Red Hat OpenStack≤ Container Platform <16.2cert_bundDE
Red Hat OpenStack≤ python-werkzeug <3.0.3cert_bundDE
pallets werkzeug≤ < 3.0.3enisa_euvdEU
АО «Экзософт» VMmanager 6≤ 6.2.2026.05.2fstec_bduRU
ООО «РусБИТех-Астра» Astra Linux Special Edition≤ 4.7fstec_bduRU
ООО «РусБИТех-Астра» Astra Linux Special Edition≤ 1.7fstec_bduRU
Сообщество свободного программного обеспечения Debian GNU/Linux≤ 11fstec_bduRU
Сообщество свободного программного обеспечения Debian GNU/Linux≤ 10fstec_bduRU
Сообщество свободного программного обеспечения Debian GNU/Linux≤ 12fstec_bduRU
Сообщество свободного программного обеспечения Werkzeug≤ 3.0.3fstec_bduRU
communications_asapalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications_asap:7.4:*:*:*:*:*:*:*
debian debian linux= 11.0nvdUScpe:2.3:o:debian:debian_linux:*:*:*:*:*:*:*:*
fedoraproject fedora= 38nvdUScpe:2.3:o:fedoraproject:fedora:*:*:*:*:*:*:*:*
fedoraproject fedora= 40nvdUScpe:2.3:o:fedoraproject:fedora:*:*:*:*:*:*:*:*
palletsprojects werkzeug< 3.0.3nvdUScpe:2.3:a:palletsprojects:werkzeug:*:*:*:*:*:*:*:*
PyPI werkzeug< 3.0.3osvUSpkg:pypi/werkzeug

Advisories (5)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2024-0294Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle Communications.
WID-SEC-W-2024-1642Oracle Communications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-3582Red Hat OpenStack (python-werkzeug): Schwachstelle ermöglicht CodeausführungDeutsch2024-12-02csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Red Hat OpenStack bezüglich "python-werkzeug" ausnutzen, um beliebigen Programmcode auszuführen.
GHSA-2g68-c3qc-8985Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain2024-05-06ghsa · osvUS
The debugger in affected versions of Werkzeug can allow an attacker to execute code on a developer's machine under some circumstances. This requires the attacker to get the developer to interact with a domain and subdomain they control, and enter the debugger PIN, but if they are successful it allows access to the debugger even if it is only running on localhost. This also requires the attacker to guess a URL in the developer's application that will trigger the debugger.
PYSEC-2026-2043Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain2026-07-07vendor · osvUS
The debugger in affected versions of Werkzeug can allow an attacker to execute code on a developer's machine under some circumstances. This requires the attacker to get the developer to interact with a domain and subdomain they control, and enter the debugger PIN, but if they are successful it allows access to the debugger even if it is only running on localhost. This also requires the attacker to guess a URL in the developer's application that will trigger the debugger.

auch bekannt als (7)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv cert_bund ncsc_nl nvd NVD CVE.org MITRE

veröffentlicht 2024-05-06geändert 2026-10-08

Referenzen (17)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan