CVE-2026-53537
Təsvir
Python-Multipart Python üçün axın əsaslı multipart parserdir. 0.0.30 versiyasından əvvəl parse_options_header Content-Disposition (və Content-Type) başlıqlarını email.message.Message ilə parse edirdi və bu, RFC 2231/5987 dekodlaşdırmasını şəffaf şəkildə tətbiq edirdi. Genişləndirilmiş parametr sintaksisi (filename*=charset'lang'value, name*=... və filename*0/filename*1 davam forması) dekodlanır və sadə filename/name açarı altında göstərilir, hər ikisi mövcud olduqda isə sadə parametri üstələyir. RFC 7578 §4.2 multipart/form-data daxilində filename* formasını açıq şəkildə qadağan edir. RFC 7578-ə uyğun gələn və ya multipart/form-data üçün RFC 2231/5987 dekodlaşdırmasını tətbiq etməyən komponentlər (WAF-lar, proksilər, şlüzlər) belə başlığı fərqli şərh edə bilər. Hücumçu bu fərqdən istifadə edərək yuxarı axın yoxlayıcısından yan keçib backend-ə fərqli sahə adı və ya fayl adı ötürə bilər. Bu zəiflik 0.0.30 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- fastapiexpert python-multipart0.0.30 və ya daha yeni versiya
- python-multipart0.0.30 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fastapiexpert python-multipart | v < 0.0.30 | 0.0.30 |
| python-multipartPyPI | v < 0.0.30 | 0.0.30 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.