CVE-2026-53538
Açıklama
Python-Multipart, Python için bir akışlı multipart ayrıştırıcısıdır. 0.0.30 sürümünden önce QuerystringParser, application/x-www-form-urlencoded gövdelerinde & işaretine ek olarak ; işaretini de alan ayırıcı olarak değerlendiriyordu. WHATWG URL standardı, modern tarayıcılar ve Python'un urllib.parse modülü (CVE-2021-23336 düzeltmesinden beri) yalnızca & işaretini ayırıcı olarak kabul etmektedir. Bu durum bir ayrıştırıcı farklılığına yol açmaktadır: aynı baytlar, WHATWG uyumlu bir ara katmanın üreteceğinden farklı alanlara ayrıştırılmakta ve bu da bir saldırganın üst akıştaki gövde denetleme bileşenini atlayarak fazladan form alanları sızdırmasına olanak tanımaktadır. Bu güvenlik açığı 0.0.30 sürümünde giderilmiştir.
Nasıl düzeltilir
- fastapiexpert python-multipart0.0.30 ya da sonraki bir sürüm
- python-multipart0.0.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastapiexpert python-multipart | v < 0.0.30 | 0.0.30 |
| python-multipartPyPI | v < 0.0.30 | 0.0.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.