PT-2026-37286 · Pypi · Microdot

Luantq0 · Publicado 2026-05-05 · Atualizado 2026-05-11 · CVE-2026-42874

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.7

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas microdot versões anteriores a 2.6.1

Descrição A função Response.set cookie() não sanitiza argumentos de string, falhando em detectar a sequência r . Isso permite ataques de divisão de resposta HTTP (HTTP response splitting) e injeção de cabeçalho. Para que isso seja explorado, um invasor deve primeiro comprometer o cliente, como por meio de um ataque de Cross-Site Scripting (XSS), para enviar dados maliciosos que o servidor então armazena em um cookie para a vítima. Esse tipo de ataque é limitado ao cliente infiltrado específico.

Recomendações Atualize para a versão 2.6.1. Como medida paliativa temporária, não passe dados não confiáveis para a função Response.set cookie().

Correção

Enumeração de Fraquezas

CWE-113

Identificadores relacionados

CVE-2026-42874

GHSA-7WC8-WVC4-M498

Produtos afetados

Microdot

Referências · 7

• https://github.com/miguelgrinberg/microdot/commit/99b281b45faef8472410f2d56bfef496dfbd95d5 · Nota
• https://github.com/miguelgrinberg/microdot/blob/main/CHANGES.md · Nota
• https://github.com/miguelgrinberg/microdot · Nota
• https://github.com/miguelgrinberg/microdot/security/advisories/GHSA-7wc8-wvc4-m498 · Nota
• https://twitter.com/luantq0/status/2053327085662531817 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-7wc8-wvc4-m498 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42874 · Nota de Segurança