PT-2020-19717

CVE-2020-7694

Publicado

2020-07-27

Atualizado

2021-07-21

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

uvicorn (versões afetadas não especificadas)

Descrição

O registrador de solicitações do uvicorn é suscetível à injeção de sequências de escape ANSI. Quando o pacote registra detalhes de solicitações HTTP no console ou em um arquivo de log, ele pode processar URLs maliciosas com sequências de escape codificadas por porcentagem, convertendo-as em seus equivalentes de um único caractere. Isso pode ter um significado especial em emuladores de terminal, permitindo que invasores corrompam os registros de acesso e, potencialmente, interajam com o emulador de terminal que exibe os registros. Os invasores podem explorar essa vulnerabilidade solicitando URLs com caminhos manipulados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-116: Improper Encoding or Escaping of Output

Identificadores relacionados