Vulnerabilidad en WebOb (CVE-2024-42353)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-601 Redireccionamiento de URL a sitio no confiable (Open Redirect)

Fecha de publicación:

14/08/2024

Última modificación:

19/08/2024

Descripción

WebOb proporciona objetos para solicitudes y respuestas HTTP. Cuando WebOb normaliza el encabezado de Ubicación HTTP para incluir el nombre de host de la solicitud, lo hace analizando la URL a la que se redirigirá al usuario con urlparse de Python y uniéndola a la URL base. Sin embargo, `urlparse` trata un `//` al comienzo de una cadena como un URI sin un esquema, y luego trata la siguiente parte como el nombre de host. `urljoin` luego usará ese nombre de host de la segunda parte como nombre de host reemplazando el original de la solicitud. Esta vulnerabilidad está parcheada en WebOb versión 1.8.8.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno