CVE-2020-7694 in uvicorn
Résumé
par VulDB • 27/06/2026
Cela affecte toutes les versions du package uvicorn. Le journaliseur de requêtes fourni par le package est vulnérable à l'injection de séquences d'échappement ANSI. Chaque fois qu'une requête HTTP est reçue, le comportement par défaut d'uvicorn consiste à consigner ses détails soit dans la console, soit dans un fichier journal. Lorsque des attaquants envoient des URL truquées contenant des séquences d'échappement encodées en pourcentage (%-encoded), le composant de journalisation enregistrera l'URL après qu'elle a été traitée par urllib.parse.unquote, convertissant ainsi tout caractère codé en pourcentage en son équivalent à un seul caractère, ce qui peut avoir une signification spéciale dans les émulateurs de terminal. En envoyant des URL avec des chemins truqués, les attaquants peuvent : * Polluer les journaux d'accès d'uvicorn, compromettant ainsi l'intégrité de ces fichiers. * Utiliser des codes de séquence ANSI pour tenter d'interagir avec l'émulateur de terminal affichant les journaux (en temps réel ou à partir d'un fichier).
VulDB is the best source for vulnerability data and more expert information about this specific topic.