Vulnerabilidades de Gramps-project

A Gramps Web API é uma API REST em Python para o software de pesquisa genealógica Gramps. As versões 1.6.0 até 3.11.0 possuem uma vulnerabilidade de travessia de caminho (Zip Slip) na funcionalidade de importação de arquivos de mídia. Um usuário autenticado com privilégios de proprietário (owner) pode criar um arquivo ZIP malicioso com nomes de arquivo que contêm travessia de diretório para gravar arquivos arbitrários fora do diretório temporário de extração, no sistema de arquivos local do servidor. A partir da versão 3.11.1, os nomes das entradas do ZIP passam a ser validados em relação ao caminho real resolvido do diretório temporário antes da extração. Qualquer entrada cujo caminho resolvido fique fora do diretório temporário gera um erro e interrompe a importação.