תיאור (מקור, אנגלית)
http.client in Python 3.x before 3.5.10, 3.6.x before 3.6.12, 3.7.x before 3.7.9, and 3.8.x before 3.8.5 allows CRLF injection if the attacker controls the HTTP request method, as demonstrated by inserting CR and LF control characters in the first argument of HTTPConnection.request.
מוצרים מושפעים
python: python; fedoraproject: fedora; canonical: ubuntu linux; netapp: solidfire; netapp: hci compute node; netapp: hci storage node; debian: debian linux; oracle: zfs storage appliance kit; opensuse: leap
קישורים10
- bugs.python.org/issue39603 ExploitIssue TrackingPatchVendor Advisory
- bugs.python.org/issue39603 ExploitIssue TrackingPatchVendor Advisory
- python-security.readthedocs.io/vuln/http-header-injection-meth… PatchThird Party Advisory
- www.oracle.com/security-alerts/cpuoct2021.html PatchThird Party Advisory
- python-security.readthedocs.io/vuln/http-header-injection-meth… PatchThird Party Advisory
- www.oracle.com/security-alerts/cpuoct2021.html PatchThird Party Advisory
- lists.opensuse.org/opensuse-security-announce/2020-11/msg00027… Mailing ListThird Party Advisory
- lists.debian.org/debian-lts-announce/2020/11/msg00032.html Mailing ListThird Party Advisory
- lists.debian.org/debian-lts-announce/2023/05/msg00024.html
- lists.fedoraproject.org/archives/list/package-announce%40lists…
מדדים
- CVSS 3.1
-
7.2
HIGH
מקור הציון: NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N - EPSS — סבירות ניצול
- 6% אחוזון 94 · נכון ל-2 בנובמבר 2026
- CWE
- CWE-74
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.