CVE-2020-7694 in uvicorn
摘要
由 VulDB • 2026-08-22
此漏洞影响 uvicorn 包的所有版本。该包提供的请求记录器易受 ASNI（ANSI）转义序列注入攻击的影响。每当收到任何 HTTP 请求时，uvicorn 的默认行为是将其详细信息记录到控制台或日志文件中。当攻击者使用包含百分号编码转义序列的特制 URL 发起请求时，日志组件会在通过 `urllib.parse.unquote` 处理 URL 后对其进行记录，从而将任何百分号编码字符转换为其单字符等效形式，这些字符在终端模拟器中可能具有特殊含义。通过请求带有特制路径的 URL，攻击者可以：* 污染 uvicorn 的访问日志，从而危及此类文件的完整性。 * 使用 ANSI 序列代码尝试与显示日志（无论是实时查看还是从文件中读取）的终端模拟器进行交互。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.