Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-07532

Опубликовано: 13 мая 2024
Источник: fstec
CVSS3: 5.3
CVSS2: 5.4
EPSS Низкий

Описание

Уязвимость функции try_match хранилища программных продуктов языка Python PyPi связана с неправильной обработкой регистра. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность защищаемой информации путем обхода политики CORS изменив регистр URL-пути

Вендор

ООО «Ред Софт»
Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС
PyPi

Версия ПО

7.3 (РЕД ОС)
4.01 (PyPi)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,3)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- изменение функции сопоставления "try_match" так, чтобы она учитывала регистр для путей;
- использование логирования и мониторинга проблемных URL;
- использование стандартизации путей.
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 38%
0.00161
Низкий

5.3 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
redos
4 месяца назад

Множественные уязвимости python3-flask-cors

CVSS3: 7.5
ubuntu
10 месяцев назад

corydolphin/flask-cors version 4.01 contains a vulnerability where the request path matching is case-insensitive due to the use of the `try_match` function, which is originally intended for matching hosts. This results in a mismatch because paths in URLs are case-sensitive, but the regex matching treats them as case-insensitive. This misconfiguration can lead to significant security vulnerabilities, allowing unauthorized origins to access paths meant to be restricted, resulting in data exposure and potential data leaks.

CVSS3: 7.5
nvd
10 месяцев назад

corydolphin/flask-cors version 4.01 contains a vulnerability where the request path matching is case-insensitive due to the use of the `try_match` function, which is originally intended for matching hosts. This results in a mismatch because paths in URLs are case-sensitive, but the regex matching treats them as case-insensitive. This misconfiguration can lead to significant security vulnerabilities, allowing unauthorized origins to access paths meant to be restricted, resulting in data exposure and potential data leaks.

CVSS3: 7.5
debian
10 месяцев назад

corydolphin/flask-cors version 4.01 contains a vulnerability where the ...

CVSS3: 5.3
github
10 месяцев назад

Flask-CORS vulnerable to Improper Handling of Case Sensitivity

EPSS

Процентиль: 38%
0.00161
Низкий

5.3 Medium

CVSS3

5.4 Medium

CVSS2