Aller au contenu
Appaloosa Scout

Vulnérabilité · NVD

CVE-2021-23336

MEDIUM 5.9 Échelle bulletin éditeur — CVSS NVD en attente

EN The package python/cpython from 0 and before 3.6.13, from 3.7.0 and before 3.7.10, from 3.8.0 and before 3.8.8, from 3.9.0 and before 3.9.2 are vulnerable to Web Cache Poisoning via urllib.parse.parse_qsl and urllib.parse.parse_qs by using a vector called parameter cloaking. When the attacker can separate query parameters using a semicolon (;), they can cause a difference in the interpretation of the request between the proxy (running with default configuration) and the server. This can result in malicious requests being cached as completely safe ones, as the proxy would usually not see the semicolon as a separator, and therefore would not include it in a cache key of an unkeyed parameter.

Vecteur d'attaque : Réseau Aucun privilège requis
Voir le vecteur CVSS brut
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
EPSS 35.96% exploit modéré percentile 98.3%

Apps suivies liées à cette CVE

Pour chaque app : la plage affectée, la version qui corrige, et où en est l'app suivie aujourd'hui.

  • Python 3.12 Windows winget:Python.Python.3.12
    Affecté ≥3.9.0 <3.9.2 Corrigé 3.9.2 Dernière suivie 3.12.10 patchée

NVD référence 12 produits distincts pour cette CVE — seuls ceux suivis par Scout (apps des catalogues mobile et desktop) sont listés ci-dessus. Bibliothèques, serveurs et produits hors périmètre n'apparaissent pas. Liste complète sur NVD ↗

Configurations CPE vulnérables (4)
Vendor Produit Versions
python python
Toutes plateformes (wildcard)
 <3.6.13
python python
Toutes plateformes (wildcard)
 ≥3.7.0 <3.7.10
python python
Toutes plateformes (wildcard)
 ≥3.8.0 <3.8.8
python python
Toutes plateformes (wildcard)
 ≥3.9.0 <3.9.2
Voir sur NVD ↗ Advisory · www.openwall.com Advisory · github.com Advisory · www.oracle.com