Podatności web.py

webpy web.py 0.76 jest podatny na Session Fixation. Komponent Session._load() odczytuje session_id bezpośrednio z ciasteczka żądania i ładuje tę sesję z magazynu, a _save() zapisuje z powrotem pod tym samym session_id; nie ma rotacji po uwierzytelnieniu, więc ustalony session_id zachowuje stan uwierzytelnienia.

webpy web.py 0.76 jest podatny na Cross Site Scripting (XSS) poprzez render_jinja.__init__().

webpy web.py 0.76 jest podatny na niewystarczające wygasanie sesji. Zarządzanie sesjami aplikacji opiera się na okresowym czyszczeniu w celu wygaszenia sesji zamiast sprawdzania czasu ostatniego dostępu podczas ładowania sesji. W rezultacie wygasła sesja, której rekord nie został jeszcze wyczyszczony, może być nadal odtwarzana i używana, co pozwala atakującemu posiadającemu wcześniej ważny cookie sesji na dalszy dostęp do chronionych zasobów po skonfigurowanym czasie bezczynności.