CVE-2026-44889

إصدارات WebOb الأقدم من 1.8.10

تحدث إعادة التوجيه المفتوحة عندما يقوم البرنامج بتوحيد رأس HTTP Location ليشمل اسم مضيف الطلب. تتضمن العملية تحليل عنوان URL لإعادة التوجيه باستخدام urllib.parse في Python وربطه بعنوان URL الأساسي. ونظرًا لأن urlsplit (الذي يتم استدعاؤه داخليًّا بواسطة urljoin) يعامل // في بداية السلسلة على أنه URI بدون مخطط، فإنه يفسر الجزء التالي على أنه اسم المضيف، ويستبدل اسم مضيف الطلب الأصلي.

على الرغم من أنه تمت محاولة سابقة للتخفيف من هذه المشكلة عن طريق استبدال // بـ /%2f، إلا أن urlsplit في Python 3.10 والإصدارات الأحدث تقوم داخليًّا بإزالة أحرف الجدولة ASCII وعودة العربة وبدء السطر. ونتيجةً لذلك، يتم تحويل سلسلة مثل /t/attacker.com إلى //attacker.com، مما يتجاوز الإصلاح السابق ويسمح بإعادة التوجيه إلى نطاق خارجي.

قم بالتحديث إلى الإصدار 1.8.10.

كحل مؤقت، أعد كتابة أي استخدام لفئة Response يتضمن location لضمان تمرير عنوان URI كامل بما في ذلك اسم المضيف، أو تحقق من أن هدف إعادة التوجيه يبدأ بنظام مثل http:// أو https:// قبل تعيينه إلى Response.location.