CVE-2026-3644

WysokieCVSS 7.5

Opublikowano: 16/03/2026(UTC)Zaktualizowano: 13/08/2026(UTC)Przetłumaczono: 01/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Poprawka dla CVE-2026-0672, która odrzucała znaki kontrolne w http.cookies.Morsel, była niekompletna. Metody Morsel.update(), operator |= oraz ścieżki deserializacji (unpickling) nie zostały załatane, co pozwala na ominięcie walidacji wejścia przez znaki kontrolne. Ponadto BaseCookie.js_output() brakuje walidacji wyjścia zastosowanej w BaseCookie.output().

Ocena ryzyka

Organizacja narażona jest na ataki polegające na wstrzykiwaniu znaków kontrolnych do ciasteczek HTTP, co może prowadzić do manipulacji sesjami, przejęcia kont lub innych naruszeń bezpieczeństwa aplikacji webowych.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę Python do wersji zawierającej pełną poprawkę dla CVE-2026-3644 oraz upewnić się, że wszystkie ścieżki przetwarzania ciasteczek (w tym update, |= i unpickling) są odpowiednio zabezpieczone.

Inne podatności w Python http.cookies

CVE-2026-6019Średnie
Funkcja http.cookies.Morsel.js_output() zwraca fragment kodu <script> i nie neutralizuje sekwencji </script>, co umożliwia wstrzyknięcie kodu HTML. Łagodzenie polega na base64-encodowaniu wartości ciasteczka.

Oryginalny opis (angielski, źródło NVD)

The fix for CVE-2026-0672, which rejected control characters in http.cookies.Morsel, was incomplete. The Morsel.update(), |= operator, and unpickling paths were not patched, allowing control characters to bypass input validation. Additionally, BaseCookie.js_output() lacked the output validation applied to BaseCookie.output().