CVE-2020-28473
Açıklama
bottle paketinin 0 ve 0.12.19 öncesindeki sürümleri, parametre gizleme (parameter cloaking) adı verilen bir vektör kullanılarak Web Önbellek Zehirlemesi'ne karşı savunmasızdır. Saldırganlar sorgu parametrelerini noktalı virgül (;) kullanarak ayırabildiklerinde, varsayılan yapılandırmayla çalışan proxy ile sunucu arasında isteğin yorumlanmasında fark yaratabilirler. Proxy genellikle noktalı virgülü bir ayırıcı olarak görmeyeceği ve bu nedenle bunu anahtarlanmamış bir parametrenin önbellek anahtarına dahil etmeyeceği için, bu durum kötü niyetli isteklerin tamamen güvenliymiş gibi önbelleğe alınmasına neden olabilir.
Nasıl düzeltilir
- bottlepy bottle0.12.19 ya da sonraki bir sürüm
- bottle0.12.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bottlepy bottle | v < 0.12.19 | 0.12.19 |
| debian debian_linux | 9.0 | — |
| bottlePyPI | v < 0.12.19 | 0.12.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.