CVE-2026-85077
WysokieCVSS 8.2Streszczenie
Sanic to otwartoźródłowy serwer/framework Pythona. W wersjach przed 24.12.1 oraz w wersji 25.12.0 pipeline odpowiedzi HTTP/1.1 w sanic/response/types.py serializuje nazwy i wartości nagłówków bez odrzucania znaków CR/LF. Aplikacje umieszczające dane kontrolowane przez atakującego w response.headers, file(..., filename=...) lub atrybutach path i domain ciasteczek mogą emitować wstrzyknięte nagłówki i dzielić odpowiedzi, co może umożliwić session fixation, cache poisoning lub uszkodzenie nagłówków bezpieczeństwa.
Ocena ryzyka
Możliwe wstrzyknięcie nagłówków i podział odpowiedzi, prowadzące do przejęcia sesji, zatrucia pamięci podręcznej lub osłabienia nagłówków bezpieczeństwa.
Rekomendacja
Zaktualizuj Sanic do wersji 24.12.1 lub 25.12.1 i unikaj umieszczania niezaufanych danych w nagłówkach odpowiedzi oraz atrybutach ciasteczek.
Inne podatności w Sanic
Zobacz wszystkie- CVE-2026-85078Średnie
W Sanic w wersji 25.12.0 obsługa chunked-body w HTTP/1.1 nie zużywa w pełni części trailer po kończącym chunku zerowym przed ponownym użyciem bufora połączenia keep-alive. Zdalny, nieuwierzytelniony klient może umieścić kontrolowane bajty w obszarze trailer, które Sanic zinterpretuje jako ukryte drugie żądanie. Umożliwia to przemyt żądań HTTP (request smuggling), gdy Sanic działa za pośrednikami.
- CVE-2017-16762Wysokie
Sanic w wersjach przed 0.5.1 umożliwia odczyt dowolnych plików poprzez atak typu directory traversal, co zostało zademonstrowane przez użycie podciągu /static/..%2f.
Oryginalny opis (angielski, źródło NVD)
Sanic is an opensource python web server/framework. Prior to version 24.12.1, and in version 25.12.0, the HTTP/1.1 response pipeline in sanic/response/types.py serializes response header names and values without rejecting carriage-return or line-feed characters. Applications that place attacker-controlled data in response.headers, file(..., filename=...), or cookie path and domain attributes can therefore emit injected headers and may split responses. Depending on application and proxy behavior, this can enable session fixation through injected cookies, cache poisoning, or security-header corruption. This issue is fixed in versions 24.12.1 and 25.12.1.