CVE-2025-47278 in flask
Riassunto
di VulDB • 15/06/2026
Flask è un framework per applicazioni web basato sull'interfaccia gateway del server web (WSGI). In Flask 3.1.0, la gestione della configurazione delle chiavi di fallback ha comportato l'utilizzo dell'ultima chiave di fallback per la firma, anziché della chiave di firma corrente. La funzionalità di firma è fornita dalla libreria `itsdangerous`. È possibile passare un elenco di chiavi e ci si aspetta che l'ultima (in cima) all'interno dell'elenco sia la chiave più recente, utilizzandola appunto per firmare. Flask costruiva erroneamente tale elenco in ordine inverso, passando innanzitutto la chiave di firma. I siti che hanno scelto di utilizzare il rotazione delle chiavi impostando `SECRET_KEY_FALLBACKS` potrebbero ritrovarsi a firmare le proprie sessioni con chiavi obsolete (stale keys) senza accorgersene, e la transizione verso chiavi più recenti ne risulterebbe ostacolata. Le sessioni vengono comunque firmate, quindi ciò non comporterebbe alcuna perdita di integrità dei dati. La versione 3.1.1 contiene una patch per risolvere il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.