CVE-2026-93421
ŚrednieCVSS 5.3Streszczenie
Mesop to framework UI w języku Python do budowania aplikacji webowych. W wersjach przed 1.3.4 nieuwierzytelniony endpoint /__csp__ przekazuje kontrolowane przez atakującego wartości document-uri, blocked-uri i violated-directive do handlera csp_report w pliku mesop/server/static_file_serving.py, który wypisuje je na standardowe wyjście bez neutralizacji sekwencji sterujących terminala. Gdy operator przegląda logi w terminalu obsługującym ANSI, wstrzyknięte sekwencje ANSI lub VT100 mogą czyścić lub przesuwać wyświetlacz, ukrywać tekst lub prezentować fałszywe komunikaty, zmniejszając integralność danych monitoringu i reagowania na incydenty. Problem został naprawiony w wersji 1.3.4.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe sekwencje terminala do logów, co może prowadzić do manipulacji wyświetlanymi informacjami, ukrycia prawdziwych zdarzeń lub prezentacji fałszywych danych. Wpływa to na integralność procesów monitorowania i reagowania na incydenty.
Rekomendacja
Zaktualizuj Mesop do wersji 1.3.4 lub nowszej, która zawiera poprawkę podatności. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie dostępu do endpointu /__csp__ lub monitorowanie logów pod kątem nietypowych sekwencji ANSI.
Inne podatności w Mesop
Zobacz wszystkie- CVE-2026-77357Wysokie
Mesop przed wersją 1.3.3, działający w trybie debug, udostępnia endpoint GET /hot-reload, którego pętla zależy od parametru counter podawanego przez użytkownika. Nieuwierzytelniony atakujący może wysyłać żądania z wysokimi wartościami counter, co prowadzi do wyczerpania puli wątków roboczych i niedostępności serwera. Atak wymaga minimalnego wysiłku i powoduje, że serwer pozostaje nieaktywny do czasu ręcznego restartu.
- CVE-2026-34824Wysokie
Mesop, framework UI oparty na Pythonie, w wersjach od 1.2.3 do 1.2.5 zawiera podatność na niekontrolowane zużycie zasobów w implementacji WebSocket. Nieuwierzytelniony atakujący może wysyłać szybkie serie wiadomości WebSocket, zmuszając serwer do tworzenia nieograniczonej liczby wątków systemu operacyjnego, co prowadzi do wyczerpania wątków i błędów Out of Memory (OOM), powodując całkowitą odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Mesop is a Python-based UI framework that allows users to build web applications. Prior to 1.3.4, the unauthenticated /__csp__ endpoint passes attacker-controlled document-uri, blocked-uri, and violated-directive values to the csp_report handler in mesop/server/static_file_serving.py, which prints them to standard output without neutralizing terminal control sequences. When an operator views the resulting logs in an ANSI-capable terminal, injected ANSI or VT100 sequences can clear or reposition the display, hide text, or present forged messages, reducing the integrity of monitoring and incident-response output. This issue is fixed in version 1.3.4.