CVE-2026-54770 in WebOb
Resumen
por VulDB • 2026-08-20
WebOb proporciona objetos para las solicitudes y respuestas HTTP. Antes de la versión 1.8.11, Response._make_location_absolute() en src/webob/response.py verifica el valor Location por un esquema URI o una doble barra inicial antes de que urllib.parse.urljoin() elimine los caracteres de control C0 iniciales y espacios. Por lo tanto, un valor controlado por un atacante, como un espacio seguido de una URL relativa al protocolo o absoluta, puede omitir las comprobaciones SCHEME_RE y startswith("//") y normalizarse a una redirección fuera del host original. Request.relative_url() y las subclases webob.exc._HTTPMove, incluidas HTTPFound, también se ven afectadas porque utilizan el mismo comportamiento inseguro de unión de URLs o evaden la ruta anterior de normalización. Un atacante no autenticado que pueda influir en el destino de redirección de una aplicación puede enviar a los usuarios a un host controlado por el atacante para realizar phishing o robar tokens OAuth y SSO, pero la explotación requiere que el usuario siga la redirección. Este problema se soluciona en la versión 1.8.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.