CVE-2026-54770

WebOb HTTP sorğuları və cavabları üçün obyektlər təmin edir. Versiya 1.8.11-dək src/webob/response.py faylındakı Response._make_location_absolute() funksiyası, urllib.parse.urljoin() ön tərəfdəki C0 idarəetmə simvollarını və boşluqları silməzdən əvvəl Location dəyərini URI sxemi və ya öncül qoşa slash üçün yoxlayır. Buna görə də, protokol nisbi və ya mütləq URL-dən əvvəl gələn boşluq kimi hücumçu tərəfindən idarə olunan bir dəyər SCHEME_RE və startswith("//") yoxlamalarını yan keçə bilər və kənar hosta yönləndirməyə normallaşdırıla bilər. Eyni təhlükəli URL birləşdirmə davranışından istifadə etdikləri və ya əvvəlki normallaşdırma yolunu yan keçdikləri üçün Request.relative_url() və HTTPFound daxil olmaqla webob.exc._HTTPMove alt sinifləri də bu problemdən təsirlənir. Tətbiqin yönləndirmə hədəfinə təsir göstərə bilən autentifikasiya olunmamış hücumçu, istifadəçiləri fişinq, OAuth və ya SSO token oğurluğu məqsədilə hücumçunun idarə etdiyi hosta göndərə bilər, lakin bu boşluğun istismarı üçün istifadəçi yönləndirməni izləməlidir. Bu problem 1.8.11 versiyasında düzəldilmişdir.