exploitDog

CVE-2026-0864

Опубликовано: 23 июн. 2026

Источник: nvd

CVSS3: 5.5

EPSS Низкий

Описание

When using the "configparser" module to write configuration files containing multi-line text values with carriage return characters (\r) the resulting file could be injected with unexpected keys and values if the attacker controls the written value.

Ссылки

https://github.com/python/cpython/commit/0adb386f6e68eb2e73d32e19f235d012df009528
Patch
https://github.com/python/cpython/commit/12dcbd74d3563016a8cb8c47e4898889f34f74dd
Patch
https://github.com/python/cpython/commit/274de100bbf4345bd0c23ef5b446722e9e636908
Patch
https://github.com/python/cpython/commit/5858e42c539dac8394636a6e9b30472b8994851f
Patch
https://github.com/python/cpython/commit/71f2e02a52d47417a6fd69f456346cd8aa7aca98
Patch
https://github.com/python/cpython/commit/aaf850fd333cd89e9aada03d92aaa788a6cb1bb8
Patch
https://github.com/python/cpython/commit/db4a157c790479710a1a840d7937c5c815a6f8b6
Patch
https://github.com/python/cpython/issues/143927
Issue Tracking
Patch
https://github.com/python/cpython/pull/151559
Issue Tracking
Patch
https://mail.python.org/archives/list/security-announce@python.org/thread/CV4NE6AFCRJL7XQOHX7J5TSDHUWVWGJS/
Mailing List
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия до 3.10.21 (исключая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.11.0 (включая) до 3.11.16 (исключая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.12.0 (включая) до 3.12.14 (исключая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.13.0 (включая) до 3.13.15 (исключая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.14.0 (включая) до 3.14.7 (исключая)

cpe:2.3:a:python:python:3.15.0:alpha1:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha2:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha3:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha4:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha5:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha6:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha7:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:alpha8:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:beta1:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:beta2:*:*:*:*:*:*

cpe:2.3:a:python:python:3.15.0:beta3:*:*:*:*:*:*

EPSS

Процентиль: 2%

0.00126

Низкий

5.5 Medium

CVSS3

Дефекты

CWE-74

Связанные уязвимости

CVE-2026-0864

CVSS3: 5.5

ubuntu

5 месяцев назад

When using the "configparser" module to write configuration files containing multi-line text values with carriage return characters (\r) the resulting file could be injected with unexpected keys and values if the attacker controls the written value.

CVE-2026-0864

CVSS3: 5.5

redhat

5 месяцев назад

When using the "configparser" module to write configuration files containing multi-line text values with carriage return characters (\r) the resulting file could be injected with unexpected keys and values if the attacker controls the written value.

CVE-2026-0864

msrc

4 месяца назад

Configuration Injection via Carriage Return (\r) in write() method

CVE-2026-0864

CVSS3: 5.5

debian

5 месяцев назад

When using the "configparser" module to write configuration files cont ...

ROS-20261103-80-0074

redos

6 дней назад

Уязвимость python3.11

EPSS

Процентиль: 2%

0.00126

Низкий

5.5 Medium

CVSS3

Дефекты

CWE-74