PT-2026-2925 · Unknown · Blacksheep
CVSS v4.0
6.3
متوسطة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات BlackSheep الأقدم من 2.4.6
الوصف
يحتوي BlackSheep، وهو إطار عمل ويب غير متزامن لإنشاء تطبيقات ويب قائمة على الأحداث باستخدام لغة Python، على مشكلة في تنفيذ عميل HTTP الخاص به. يسمح عدم التحقق من صحة الرؤوس للمهاجم بتعديل طلبات HTTP، مما قد يؤدي إلى إدراج رؤوس جديدة أو إنشاء طلبات جديدة تمامًا. يتطلب استغلال هذه الثغرة تمرير مدخلات المستخدم غير المُعقمة مباشرةً إلى الرؤوس. لا يتأثر مكون الخادم، حيث يعتمد BlackSheep على خادم ASGI أساسي لإدارة رؤوس الاستجابة. يتضمن ناقل الهجوم التطبيقات التي تستخدم مدخلات المستخدم في طلبات عميل HTTP المتعلقة بالطريقة أو عنوان URL أو الرؤوس.
التوصيات
قم بالتحديث إلى الإصدار 2.4.6.
إذا كنت تتعامل مع رؤوس من مصادر غير موثوقة، فقم برفض القيم الخاصة بأسماء الرؤوس وقيمها التي تحتوي على أحرف إرجاع السطر.
استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Blacksheep