CVE-2026-42874
Təsvir
Microdot minimalist Python veb freymvorkudur. 2.6.1 versiyasından əvvəl Response.set_cookie() metodu öz sətir arqumentlərini təmizləmir və xüsusilə onlarda \r\n ardıcıllığının mövcudluğunu aşkar etmir. Bu, potensial başlıq inyeksiyası (header injection) hücumlarının mənbəyi ola bilər. Bu problem vasitəsilə başlıq inyeksiyası hücumunun mümkün olması üçün hücumçu əvvəlcə klientə nüfuz etməli (məsələn, müstəqil XSS hücumu vasitəsilə), beləliklə, serverin qurban adına kuki-də saxlamalı olduğu zərərli məlumatları göndərə bilməlidir. Bir klientə nüfuz edən hücumçu yalnız həmin klient üçün başlıq inyeksiyası hücumunu təşkil edə bilər, nüfuz edilməmiş digər bütün klientlər təhlükəsizdir. Bu boşluq 2.6.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- microdot2.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microdotPyPI | v < 2.6.1 | 2.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.