Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en corydolphin/flask-cors (CVE-2024-6844)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/03/2025
Última modificación:
20/03/2025

Descripción

Una vulnerabilidad en corydolphin/flask-cors versión 4.0.1 permite coincidencias CORS inconsistentes debido a la gestión del carácter "+" en las rutas URL. El archivo request.path se pasa a través de la función unquote_plus, que convierte el carácter "+" en un espacio. Este comportamiento provoca una normalización incorrecta de las rutas, lo que puede provocar discrepancias en la configuración CORS. Como resultado, los endpoints podrían no coincidir correctamente con su configuración CORS, lo que provoca la aplicación inesperada de políticas CORS. Esto puede provocar accesos no autorizados entre orígenes o bloquear solicitudes válidas, creando vulnerabilidades de seguridad y problemas de usabilidad.

Impacto

Vector 3.x
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA

Referencias a soluciones, herramientas e información