CVE-2026-53537
Açıklama
Python-Multipart, Python için bir akışlı multipart ayrıştırıcısıdır. 0.0.30 sürümünden önce, parse_options_header; Content-Disposition (ve Content-Type) başlıklarını, RFC 2231/5987 çözümlemesini şeffaf bir şekilde uygulayan email.message.Message ile ayrıştırıyordu. Genişletilmiş parametre sözdizimi (filename*=charset'lang'value, name*=... ve filename*0/filename*1 devam formu) çözümlenerek yalın filename/name anahtarı altında sunulmakta ve her ikisi de mevcut olduğunda düz parametrenin üzerine yazmaktadır. RFC 7578 §4.2, multipart/form-data içinde filename* formunu açıkça yasaklamaktadır. RFC 7578'yi takip eden veya multipart/form-data için RFC 2231/5987 çözümlemesini uygulamayan bileşenler (WAF'lar, proxyler, ağ geçitleri), böyle bir başlığı farklı yorumlayabilir. Bir saldırgan, bu farkı kullanarak üst akıştaki bir denetleyiciyi atlatıp arka uca farklı bir alan adı veya dosya adı sızdırabilir. Bu güvenlik açığı 0.0.30 sürümünde giderilmiştir.
Nasıl düzeltilir
- fastapiexpert python-multipart0.0.30 ya da sonraki bir sürüm
- python-multipart0.0.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastapiexpert python-multipart | v < 0.0.30 | 0.0.30 |
| python-multipartPyPI | v < 0.0.30 | 0.0.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.