CVE-2025-0938
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 72 - wyżej niż 72% wszystkich znanych CVE
Streszczenie
Funkcje standardowej biblioteki Pythona `urllib.parse.urlsplit` i `urlparse` akceptują nazwy domen zawierające nawiasy kwadratowe, co jest niezgodne z RFC 3986. Nawiasy kwadratowe są przeznaczone wyłącznie jako ograniczniki dla hostów IPv6 i IPvFuture w adresach URL. Może to prowadzić do różnic w parsowaniu między parserem URL Pythona a innymi parserami zgodnymi ze specyfikacją.
Ocena ryzyka
Różnice w parsowaniu URL mogą być wykorzystane do ataków SSRF (Server-Side Request Forgery) lub obejścia zabezpieczeń opartych na walidacji URL, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów.
Rekomendacja
Zaktualizuj Pythona do wersji, w której poprawiono funkcje `urlsplit` i `urlparse`, aby odrzucały nieprawidłowe nazwy domen z nawiasami kwadratowymi.
Oryginalny opis (angielski, źródło NVD)
The Python standard library functions `urllib.parse.urlsplit` and `urlparse` accepted domain names that included square brackets which isn't valid according to RFC 3986. Square brackets are only meant to be used as delimiters for specifying IPv6 and IPvFuture hosts in URLs. This could result in differential parsing across the Python URL parser and other specification-compliant URL parsers.