CVE-2026-6019
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Funkcja http.cookies.Morsel.js_output() zwraca fragment kodu <script> i nie neutralizuje sekwencji </script>, co umożliwia wstrzyknięcie kodu HTML. Łagodzenie polega na base64-encodowaniu wartości ciasteczka.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, prowadząc do ataków XSS.
Rekomendacja
Należy zastosować łagodzenie poprzez base64-encodowanie wartości ciasteczka lub zaktualizować bibliotekę.
Inne podatności w Python http.cookies
Zobacz wszystkie- CVE-2026-0672Średnie
W http.cookies.Morsel (Python) wartości i parametry ciasteczek kontrolowane przez użytkownika mogą pozwolić na wstrzyknięcie nagłówków HTTP do wiadomości. Poprawka odrzuca wszystkie znaki kontrolne w nazwach, wartościach i parametrach ciasteczek.
- CVE-2026-3644Wysokie
Poprawka dla CVE-2026-0672, która odrzucała znaki kontrolne w http.cookies.Morsel, była niekompletna. Metody Morsel.update(), operator |= oraz ścieżki deserializacji (unpickling) nie zostały załatane, co pozwala na ominięcie walidacji wejścia przez znaki kontrolne. Ponadto BaseCookie.js_output() brakuje walidacji wyjścia zastosowanej w BaseCookie.output().
Oryginalny opis (angielski, źródło NVD)
http.cookies.Morsel.js_output() returns an inline <script> snippet and only escapes " for JavaScript string context. It does not neutralize the HTML parser-sensitive sequence </script> inside the generated script element. Mitigation base64-encodes the cookie value to disallow escaping using cookie value.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS