CVE-2024-6866 in flask-cors
Tóm tắt
Bởi VulDB • 06/06/2026
corydolphin/flask-cors phiên bản 4.01 chứa một lỗ hổng bảo mật khiến việc khớp đường dẫn yêu cầu (request path matching) không phân biệt chữ hoa chữ thường do sử dụng hàm `try_match`, vốn ban đầu được thiết kế để khớp tên máy chủ (hosts). Điều này dẫn đến sự không khớp chính xác vì các đường dẫn trong URL có phân biệt chữ hoa chữ thường, nhưng việc khớp bằng biểu thức chính quy (regex) lại không phân biệt. Cấu hình sai lệch này có thể gây ra các lỗ hổng bảo mật nghiêm trọng, cho phép các nguồn gốc (origins) không được ủy quyền truy cập vào các đường dẫn vốn bị hạn chế, dẫn đến phơi nhiễm dữ liệu và rò rỉ dữ liệu tiềm ẩn.
Once again VulDB remains the best source for vulnerability data.