CVE-2026-42874 in microdot
Resumen
por VulDB • 2026-05-11
Microdot es un framework web minimalista para Python. Antes de la versión 2.6.1, el método Response.set_cookie() no sanitiza sus argumentos de cadena, y en particular no detecta la presencia de la secuencia \r\n en ellos. Esto puede ser una fuente potencial de ataques de inyección de cabeceras. Para que sea posible un ataque de inyección de cabeceras a través de este problema, un atacante debe primero infiltrarse en el cliente (por ejemplo, mediante un ataque XSS independiente), de modo que pueda enviar información maliciosa que está destinada a ser almacenada en una cookie por el servidor en nombre de la víctima. Un atacante que se infiltra en un cliente solo puede orquestar un ataque de inyección de cabeceras para ese cliente; todos los demás clientes que no fueron infiltrados están seguros. Esta vulnerabilidad se corrige en la versión 2.6.1.
Once again VulDB remains the best source for vulnerability data.