CVE-2021-23336
ŚrednieStreszczenie
Podatność w CPythonie (od wersji 0 do 3.6.13, 3.7.0-3.7.10, 3.8.0-3.8.8, 3.9.0-3.9.2) umożliwia zatruwanie pamięci podręcznej sieci Web poprzez funkcje urllib.parse.parse_qsl i urllib.parse.parse_qs. Atakujący może wykorzystać technikę zwaną 'parameter cloaking' do manipulacji parametrami zapytań.
Ocena ryzyka
Organizacja narażona jest na ataki typu Web Cache Poisoning, które mogą prowadzić do wyświetlania złośliwych treści użytkownikom, kradzieży danych lub przejęcia sesji.
Rekomendacja
Należy natychmiast zaktualizować CPythona do wersji 3.6.13, 3.7.10, 3.8.8, 3.9.2 lub nowszej. W przypadku braku możliwości aktualizacji, należy rozważyć użycie alternatywnych metod parsowania parametrów zapytań.
Oryginalny opis (angielski, źródło NVD)
The package python/cpython from 0 and before 3.6.13, from 3.7.0 and before 3.7.10, from 3.8.0 and before 3.8.8, from 3.9.0 and before 3.9.2 are vulnerable to Web Cache Poisoning via urllib.parse.parse_qsl and urllib.parse.parse_qs by using a vector called parameter cloaking. When the attacker can se