CVE-2026-54770

WebOb, HTTP istekleri ve yanıtları için nesneler sağlar. 1.8.11 sürümünden önce, src/webob/response.py dosyasındaki Response._make_location_absolute(), urllib.parse.urljoin() fonksiyonu baştaki C0 kontrol karakterlerini ve boşlukları temizlemeden önce bir Location değerini URI şeması veya baştaki çift eğik çizgi için kontrol eder. Bu nedenle, protokol göreceli veya mutlak bir URL'yi takip eden bir boşluk gibi saldırgan tarafından kontrol edilen bir değer; SCHEME_RE ve startswith("//") kontrollerini atlayabilir ve ana makine dışı bir yönlendirmeye normalize edilebilir. Request.relative_url() ve HTTPFound dahil olmak üzere webob.exc._HTTPMove alt sınıfları da aynı güvenli olmayan URL birleştirme davranışını kullandıkları veya önceki normalleştirme yolunu atladıkları için etkilenmektedir. Bir uygulamanın yönlendirme hedefini etkileyebilen kimliği doğrulanmamış bir saldırgan; kullanıcıları oltalama, OAuth veya SSO belirteç hırsızlığı amacıyla saldırgan kontrollü bir ana makineye gönderebilir ancak istismar edilmesi için kullanıcının yönlendirmeyi takip etmesi gerekir. Bu sorun 1.8.11 sürümünde düzeltilmiştir.