CVE-2023-49082
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność w aiohttp pozwala atakującemu na modyfikację żądania HTTP poprzez niewłaściwą walidację, co może prowadzić do wstrzykiwania nowych nagłówków lub tworzenia nowych żądań, jeśli atakujący kontroluje metodę HTTP.
Ocena ryzyka
Organizacje mogą być narażone na ataki typu request smuggling, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
Rekomendacja
Zaleca się aktualizację do wersji 3.9.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. Improper validation makes it possible for an attacker to modify the HTTP request (e.g. insert a new header) or even create a new HTTP request if the attacker controls the HTTP method. The vulnerability occurs only if the attacker can control the HTTP method (GET, POST etc.) of the request. If the attacker can control the HTTP version of the request it will be able to modify the request (request smuggling). This issue has been patched in version 3.9.0.