Scrapy до 1.8.0/2.5.0 HttpAuthMiddleware w3lib.http.basic_auth_header http_user/http_pass раскрытие информации

CVSS Meta Temp Score	Текущая цена эксплойта (≈)	Балл интереса CTI
4.5	$0-$5k	0.00

СводкаИнформация

Уязвимость была найдена в Scrapy до 1.8.0/2.5.0. Она была оценена как проблематичный. Неизвестная функция компонента HttpAuthMiddleware поражена. Манипуляция аргументом http_user/http_pass приводит к раскрытие информации. Эта уязвимость обозначается как CVE-2021-41125. Есть возможность удалённого запуска атаки. Эксплойт отсутствует. Рекомендуется произвести апгрейд соответствующего компонента.

ПодробностиИнформация

Уязвимость была найдена в Scrapy до 1.8.0/2.5.0. Она была оценена как проблематичный. Неизвестная функция компонента HttpAuthMiddleware поражена. Манипуляция аргументом http_user/http_pass приводит к раскрытие информации. Использование CWE для описания проблемы приводит к CWE-200. Слабость была опубликована 07.10.2021 под идентификатором GHSA-jwqp-28gf-p498. Документ доступен для загрузки по адресу github.com.

Эта уязвимость обозначается как CVE-2021-41125. CVE был назначен 15.09.2021. Есть возможность удалённого запуска атаки. Доступна техническая информация. Популярность этой уязвимости ниже среднего. Эксплойт отсутствует. В настоящее время текущая цена эксплойта может составлять примерно USD $0-$5k. Техника атаки по классификации MITRE ATT&CK: T1592.

Объявляется Не определено. В 0-дневный период предполагаемая подземная цена составляла около $0-$5k. В сканере Nessus имеется плагин с ID 235158.

Обновление до 1.8.1 и 2.5.1 может устранить эту уязвимость. Название патча: b01d69a1bf48060daec8f751368622352d8b85a6. Исправление ошибки доступно для загрузки на github.com. Рекомендуется произвести апгрейд соответствующего компонента.

Уязвимость также задокументирована в других базах данных уязвимостей: Tenable (235158).

ПродуктИнформация

Имя

• Scrapy

Версия

• 1.0
• 1.1
• 1.2
• 1.3
• 1.4
• 1.5
• 1.6
• 1.7
• 1.8.0
• 2.0
• 2.1
• 2.2
• 2.3
• 2.4
• 2.5.0

Лицензия

• Открытый исходный код

Веб-сайт

• Продукт: https://github.com/scrapy/scrapy/

CPE 2.3Информация

• 🔍
• 🔍
• 🔍

CPE 2.2Информация

• 🔍
• 🔍
• 🔍

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 4.6
VulDB Meta Temp Score: 4.5

VulDB Базовый балл: 3.5
VulDB Временная оценка: 3.4
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CNA Базовый балл: 5.7
CNA Вектор (GitHub, Inc.): 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: раскрытие информации
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: Не определено

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Nessus ID: 235158
Nessus Имя: Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Scrapy vulnerabilities (USN-7476-1)

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

0-дневное время: 🔍

Обновление: Scrapy 1.8.1/2.5.1
Патч: b01d69a1bf48060daec8f751368622352d8b85a6

ХронологияИнформация

15.09.2021 🔍
07.10.2021 +22 дни 🔍
07.10.2021 +0 дни 🔍
06.05.2025 +1307 дни 🔍

ИсточникиИнформация

Продукт: github.com

Консультация: GHSA-jwqp-28gf-p498
Статус: Подтверждённый
Подтверждение: 🔍

CVE: CVE-2021-41125 (🔍)
GCVE (CVE): GCVE-0-2021-41125
GCVE (VulDB): GCVE-100-183965

ВходИнформация

Создано: 07.10.2021 08:42
Обновлено: 06.05.2025 17:59
Изменения: 07.10.2021 08:42 (53), 10.10.2021 08:17 (2), 06.05.2025 17:59 (16)
Завершенный: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Обсуждение

Want to stay up to date on a daily basis?

Enable the mail alert feature now!