CVE-2026-44889
Açıklama
WebOb, HTTP istekleri ve yanıtları için nesneler sağlar. 1.8.10 sürümünden önce, bir yönlendirme sırasında HTTP Location başlığının normalleştirilmesi açık yönlendirmeye (open redirect) karşı savunmasızdır: WebOb, yönlendirme hedefini isteğin URI'sine Python'un urljoin fonksiyonunu kullanarak ekler ve Python 3.10'dan itibaren temel urlsplit işlemi ayrıştırmadan önce ASCII sekme, satır başı ve yeni satır karakterlerini temizler; bu nedenle, bu tür karakterler içeren bir yönlendirme hedefi, yetkilisi saldırgan tarafından kontrol edilen bir ana bilgisayar olan protokol göreceli bir URL olarak yeniden yorumlanabilir. Bu durum, baştaki çift eğik çizgiyi kaçıran CVE-2024-42353 düzeltmesini atlatarak, yönlendirme konumunu etkileyebilen bir saldırganın kullanıcıları amaçlanan site yerine rastgele harici bir siteye göndermesine olanak tanır. Bu güvenlik açığı 1.8.10 sürümünde giderilmiştir.
Nasıl düzeltilir
- pylonsproject webob1.8.10 ya da sonraki bir sürüm
- webob1.8.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pylonsproject webob | v < 1.8.10 | 1.8.10 |
| webobPyPI | v < 1.8.10 | 1.8.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.