CVE-2025-15282
ŚrednieCVSS 6.0Streszczenie
Moduł urllib.request.DataHandler w Pythonie przetwarza kontrolowane przez użytkownika adresy URL typu data, co pozwala na wstrzyknięcie nagłówków poprzez znaki nowej linii w mediatype adresu data URL.
Ocena ryzyka
Może to prowadzić do wstrzyknięcia nagłówków HTTP, co potencjalnie umożliwia ataki typu request smuggling lub obejście mechanizmów bezpieczeństwa w aplikacjach przetwarzających niezaufane adresy URL.
Rekomendacja
Zaktualizuj Pythona do wersji zawierającej poprawkę lub unikaj przetwarzania niezaufanych adresów data URL za pomocą urllib.request.DataHandler.
Inne podatności w Python urllib
Zobacz wszystkie- CVE-2019-9947Średnie
W bibliotekach urllib2 (Python 2.x do 2.7.16) oraz urllib (Python 3.x do 3.7.3) wykryto możliwość wstrzyknięcia CRLF, jeśli atakujący kontroluje parametr URL. Wstrzyknięcie następuje poprzez znaki \r\n w komponencie ścieżki adresu URL (bez znaku ?), po których następuje nagłówek HTTP lub polecenie Redis. Podatność jest podobna do CVE-2019-9740 i została naprawiona w nowszych wersjach Pythona.
- CVE-2019-9740Średnie
W bibliotekach urllib2 (Python 2.x do 2.7.16) oraz urllib (Python 3.x do 3.7.3) wykryto możliwość wstrzyknięcia CRLF, jeśli atakujący kontroluje parametr URL. Wstrzyknięcie następuje poprzez znaki \r\n w ciągu zapytania (po znaku ?), po których następuje nagłówek HTTP lub polecenie Redis. Podatność została naprawiona w nowszych wersjach Pythona.
- CVE-2026-15806Średnie
Klasa HTTPPasswordMgr w module urllib.request oraz jej podklasy nie uwzględniały schematu URL przy dopasowywaniu zapisanych poświadczeń do żądanego adresu URL. Poświadczenia dodane dla https:// były używane również dla http://, co umożliwiało przechwycenie ich w postaci jawnego tekstu.
- CVE-2019-18348Średnie
W bibliotekach urllib2 (Python 2.x do 2.7.17) oraz urllib (Python 3.x do 3.8.0) wykryto możliwość wstrzyknięcia CRLF, jeśli atakujący kontroluje parametr URL. Wstrzyknięcie następuje poprzez znaki \r\n w komponencie hosta adresu URL, po których następuje nagłówek HTTP. Podatność jest podobna do CVE-2019-9740 i CVE-2019-9947 i została naprawiona w nowszych wersjach Pythona.
Oryginalny opis (angielski, źródło NVD)
User-controlled data URLs parsed by urllib.request.DataHandler allow injecting headers through newlines in the data URL mediatype.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS