CVE-2026-44889
Təsvir
WebOb HTTP sorğuları və cavabları üçün obyektlər təmin edir. 1.8.10 versiyasından əvvəl, yönləndirmə zamanı HTTP Location başlığının normallaşdırılması açıq yönləndirməyə (open redirect) qarşı həssasdır: WebOb yönləndirmə hədəfini Python-un urljoin funksiyasını istifadə edərək sorğu URI-sinin yanına əlavə edir və Python 3.10-dan etibarən alt strukturda olan urlsplit analizdən əvvəl ASCII tab, carriage return və yeni sətir simvollarını silir. Beləliklə, bu cür simvollar ehtiva edən yönləndirmə hədəfi, avtoriteti hücumçunun nəzarətində olan host olan protokoldan asılı olmayan URL kimi yenidən şəkləndirilə bilər. Bu, öncəki iki slash simvolunu ekranlaşdıran CVE-2024-42353 düzəlişini yan keçərək, yönləndirmə yerinə təsir göstərə bilən hücumçuya istifadəçiləri nəzərdə tutulmuş sayt əvəzinə ixtiyari xarici sayta göndərməyə imkan verir. Bu zəiflik 1.8.10 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- pylonsproject webob1.8.10 və ya daha yeni versiya
- webob1.8.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pylonsproject webob | v < 1.8.10 | 1.8.10 |
| webobPyPI | v < 1.8.10 | 1.8.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.