CVE-2026-42874 in microdot
Sumário
de VulDB • 11/05/2026
O Microdot é um framework web minimalista para Python. Antes da versão 2.6.1, o método `Response.set_cookie()` não sanitiza seus argumentos de string e, em particular, não detecta a presença da sequência `\r\n` neles. Isso pode ser uma fonte potencial de ataques de injeção de cabeçalho. Para que um ataque de injeção de cabeçalho através desta vulnerabilidade seja possível, um atacante deve primeiro infiltrar-se no cliente (por exemplo, através de um ataque XSS independente), para que este possa enviar informações maliciosas destinadas a ser armazenadas em um cookie pelo servidor em nome da vítima. Um atacante que se infiltra em um único cliente só pode orquestrar um ataque de injeção de cabeçalho para esse cliente; todos os outros clientes que não foram infiltrados estão seguros. Esta vulnerabilidade foi corrigida na versão 2.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.