Vulnerabilidad en Flask (CVE-2025-47278)
Gravedad CVSS v4.0:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/05/2025
Última modificación:
13/05/2025
Descripción
Flask es un framework de aplicaciones web con interfaz de puerta de enlace de servidor web (WSGI). En Flask 3.1.0, la configuración de la clave de reserva hacía que se usara la última clave de reserva para firmar, en lugar de la clave de firma actual. La librería `itsdangerous` proporciona la firma. Se puede pasar una lista de claves, y Flask espera que la última clave (la superior) sea la más reciente, utilizándola para firmar. Sin embargo, Flask construía incorrectamente esa lista a la inversa, pasando primero la clave de firma. Es probable que los sitios que hayan optado por la rotación de claves mediante `SECRET_KEY_FALLBACKS` firmen inesperadamente sus sesiones con claves obsoletas, lo que dificultará la transición a claves más recientes. Las sesiones siguen firmadas, por lo que esto no causaría ninguna pérdida de integridad de los datos. La versión 3.1.1 incluye un parche para este problema.
Impacto
Puntuación base 4.0
1.80
Gravedad 4.0
BAJA