CVE-2026-54163 in secure_headers
Zusammenfassung
von VulDB • 17.07.2026
secure_headers verwaltet die Anwendung von Sicherheits-Headern mit vielen sicheren Standardwerten. Vor Version 7.3.0 erstellt secure_headers den Wert für Content-Security-Policy, indem es Direktiven durch Semikolons (;) getrennt aneinanderreihet. Die Funktionen build_sandbox_list_directive, build_media_type_list_directive und build_report_to_directive interpolieren vom Aufrufer bereitgestellte Strings ohne Bereinigung von ;, \r oder \n. Wenn nicht vertrauenswürdige Eingaben die APIs SecureHeaders.override_content_security_policy_directives oder append für :sandbox, :plugin_types oder :report_to erreichen, kann ein Angreifer eine CSP-Direktive wie script-src 'unsafe-inline' * vor der legitimen script-src-Direktive injizieren. Dies ermöglicht XSS-Erreichbarkeit über diese Senken (Sinks) oder die Exfiltration von CSP-Berichten. Dieses Problem wurde in Version 7.3.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.