Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-07529

Опубликовано: 11 мая 2024
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Низкий

Описание

Уязвимость библиотеки Flask CORS хранилища программных продуктов языка Python PyPi связана с некорректной обработкой логических операций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности, что приведет к неожиданному применению политики CORS

Вендор

ООО «Ред Софт»
Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС
PyPi

Версия ПО

7.3 (РЕД ОС)
4.01 (PyPi)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,3)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- ограничение использования программного средства;
- использование альтернативных библиотек для обработки CORS;
- отслеживание применяемых политик CORS.
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 21%
0.00068
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
redos
4 месяца назад

Множественные уязвимости python3-flask-cors

CVSS3: 5.3
ubuntu
10 месяцев назад

A vulnerability in corydolphin/flask-cors version 4.0.1 allows for inconsistent CORS matching due to the handling of the '+' character in URL paths. The request.path is passed through the unquote_plus function, which converts the '+' character to a space ' '. This behavior leads to incorrect path normalization, causing potential mismatches in CORS configuration. As a result, endpoints may not be matched correctly to their CORS settings, leading to unexpected CORS policy application. This can cause unauthorized cross-origin access or block valid requests, creating security vulnerabilities and usability issues.

CVSS3: 5.3
nvd
10 месяцев назад

A vulnerability in corydolphin/flask-cors version 4.0.1 allows for inconsistent CORS matching due to the handling of the '+' character in URL paths. The request.path is passed through the unquote_plus function, which converts the '+' character to a space ' '. This behavior leads to incorrect path normalization, causing potential mismatches in CORS configuration. As a result, endpoints may not be matched correctly to their CORS settings, leading to unexpected CORS policy application. This can cause unauthorized cross-origin access or block valid requests, creating security vulnerabilities and usability issues.

CVSS3: 5.3
debian
10 месяцев назад

A vulnerability in corydolphin/flask-cors version 4.0.1 allows for inc ...

CVSS3: 5.3
github
10 месяцев назад

Flask-CORS allows for inconsistent CORS matching

EPSS

Процентиль: 21%
0.00068
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2