PT-2026-81389
CVE-2026-55553
·
تاريخ النشر
2026-06-13
·
تاريخ التحديث
2026-08-28
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات urllib الأقدم من 2.44.1
إصدارات urllib الأقدم من 4.9.1
الوصف
عند اتباع عمليات إعادة التوجيه عبر
followRedirect، يعيد البرنامج استخدام الخيارات التي يزودها المستدعي عبر مصادر مختلفة. وعلى وجه التحديد، تقوم الدالة #requestInternal() باستدعاء نفسها بشكل متكرر مع الاحتفاظ بكائن options الأصلي. يؤدي هذا إلى إرسال الرؤوس الحساسة وقيم المصادقة إلى هدف إعادة التوجيه حتى لو كان له مخطط أو مضيف أو منفذ مختلف.تشمل الرؤوس التي تحتوي على بيانات الاعتماد والتي قد تتعرض للكشف:
Authorization، وCookie، وProxy-Authorization، وx-api-key، وx-auth-token، وx-access-token. إذا تمت إعادة توجيه طلب إلى مصدر يتحكم فيه المهاجم، فيمكن التقاط بيانات الاعتماد هذه وإمكانية إعادة استخدامها ضد واجهة برمجة التطبيقات (API) الأصلية أو الخدمات ذات الصلة. لا تتطلب هذه المشكلة أي تفاعل من المستخدم.التوصيات
تحديث urllib إلى الإصدار 2.44.1 أو أحدث.
تحديث urllib إلى الإصدار 4.9.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾