Vulnerabilidad en paquete Crow (CVE-2023-26142)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-113 Neutralización incorrecta de secuencias CRLF en cabeceras HTTP (División de respuesta HTTP)

Fecha de publicación:

12/09/2023

Última modificación:

29/10/2026

Descripción

Todas las versiones del paquete Crow son vulnerables a la División de Respuestas HTTP cuando se utiliza la entrada de usuario que no es de confianza para crear valores de encabezado. Los valores de encabezado no sanitizados correctamente contra la inyección de CRLF en las funciones set_header y add_header. Un atacante puede agregar los caracteres \r\n (saltos de línea de retorno de carro) para finalizar los encabezados de respuesta HTTP e inyectar contenido malintencionado.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno