PT-2026-79057
CVE-2026-54770
·
تاريخ النشر
2026-06-09
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 2.0
6.4
متوسطةالمقاييسAV:N/AC:L/Au:N/C:P/I:P/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WebOb الأقدم من 1.8.11
الوصف
توجد مشكلة تتمثل في أن الدالة
Response. make location absolute() الموجودة في ملف src/webob/response.py تجري فحوصات للتحقق من وجود نظام URI أو شرطتين مائلتين في بداية العنوان قبل أن تقوم الدالة urllib.parse.urljoin() بإزالة أحرف التحكم C0 والمسافات الموجودة في بداية العنوان. يمكن للمهاجم تقديم قيمة، مثل مسافة متبوعة بعنوان URL نسبي للبروتوكول أو مطلق، لتجاوز عمليات التحقق من SCHEME RE وstartswith(”..“)، مما يؤدي إلى إعادة توجيه خارج المضيف. كما تتأثر الدالة Request.relative url() والفئات الفرعية لـ webob.exc. HTTPMove، بما في ذلك HTTPFound، بسبب سلوك غير آمن في ربط عناوين URL أو تجاوز مسار التوحيد. يمكن لمهاجم غير مصدق قادر على التأثير على هدف إعادة التوجيه إعادة توجيه المستخدمين إلى مضيف ضار لأغراض التصيد الاحتيالي أو سرقة رموز OAuth وSSO، شريطة أن يتبع المستخدم عملية إعادة التوجيه.التوصيات
قم بالتحديث إلى الإصدار 1.8.11.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾