PT-2026-39665 · Pypi+3 · Urllib3+3
CVSS v4.0
8.2
Alta
| Vetor | AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
urllib3 versões 1.23 até 2.6.x
Descrição
Cabeçalhos sensíveis, especificamente
Authorization, Cookie e Proxy-Authorization, são encaminhados durante redirecionamentos de origem cruzada (cross-origin) ao usar a API de baixo nível via ProxyManager.connection from url().urlopen(..., assert same host=False). Enquanto APIs de alto nível como urllib3.request(), PoolManager.request() e ProxyManager.request() removem esses cabeçalhos por padrão, o fluxo de baixo nível não o faz.Recomendações
Atualize para a versão 2.7.0 ou posterior.
Evite usar o fluxo de redirecionamento de baixo nível para redirecionamentos de origem cruzada ou mude para
ProxyManager.request().Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Linuxmint
Rocky Linux
Ubuntu
Urllib3