CVE-2026-0672
ŚrednieCVSS 6.0Streszczenie
W http.cookies.Morsel (Python) wartości i parametry ciasteczek kontrolowane przez użytkownika mogą pozwolić na wstrzyknięcie nagłówków HTTP do wiadomości. Poprawka odrzuca wszystkie znaki kontrolne w nazwach, wartościach i parametrach ciasteczek.
Ocena ryzyka
Atakujący może wstrzyknąć dowolne nagłówki HTTP, co może prowadzić do zatrucia odpowiedzi, podziału odpowiedzi HTTP lub innych ataków. Może to naruszyć bezpieczeństwo aplikacji internetowych korzystających z tego modułu.
Rekomendacja
Zaktualizuj Python do wersji zawierającej poprawkę (najnowsze wydanie z gałęzi bezpieczeństwa). Upewnij się, że dane wejściowe do ciasteczek są odpowiednio walidowane i oczyszczane.
Inne podatności w Python http.cookies
Zobacz wszystkie- CVE-2026-6019Średnie
Funkcja http.cookies.Morsel.js_output() zwraca fragment kodu <script> i nie neutralizuje sekwencji </script>, co umożliwia wstrzyknięcie kodu HTML. Łagodzenie polega na base64-encodowaniu wartości ciasteczka.
- CVE-2026-3644Wysokie
Poprawka dla CVE-2026-0672, która odrzucała znaki kontrolne w http.cookies.Morsel, była niekompletna. Metody Morsel.update(), operator |= oraz ścieżki deserializacji (unpickling) nie zostały załatane, co pozwala na ominięcie walidacji wejścia przez znaki kontrolne. Ponadto BaseCookie.js_output() brakuje walidacji wyjścia zastosowanej w BaseCookie.output().
Oryginalny opis (angielski, źródło NVD)
When using http.cookies.Morsel, user-controlled cookie values and parameters can allow injecting HTTP headers into messages. Patch rejects all control characters within cookie names, values, and parameters.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS