Podatności Python http.cookies
3 znanych podatności CVE w Python http.cookies, przetłumaczonych i ocenionych.
- CVE-2026-0672Średnie
W http.cookies.Morsel (Python) wartości i parametry ciasteczek kontrolowane przez użytkownika mogą pozwolić na wstrzyknięcie nagłówków HTTP do wiadomości. Poprawka odrzuca wszystkie znaki kontrolne w nazwach, wartościach i parametrach ciasteczek.
- CVE-2026-6019Średnie
Funkcja http.cookies.Morsel.js_output() zwraca fragment kodu <script> i nie neutralizuje sekwencji </script>, co umożliwia wstrzyknięcie kodu HTML. Łagodzenie polega na base64-encodowaniu wartości ciasteczka.
- CVE-2026-3644Wysokie
Poprawka dla CVE-2026-0672, która odrzucała znaki kontrolne w http.cookies.Morsel, była niekompletna. Metody Morsel.update(), operator |= oraz ścieżki deserializacji (unpickling) nie zostały załatane, co pozwala na ominięcie walidacji wejścia przez znaki kontrolne. Ponadto BaseCookie.js_output() brakuje walidacji wyjścia zastosowanej w BaseCookie.output().
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS