• 我的位置：
  • 首頁(yè)
  • -
  • 漏洞預(yù)警
  • -
  • 其他
  • -
    • Flask-Unchained 安全漏洞
    • CNNVD編號(hào)：CNNVD-202106-848
    • 危害等級(jí)： 中危 
    • CVE編號(hào)：CVE-2021-23393
    • 漏洞類型： 未知
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來(lái)源：國(guó)家信息安全漏洞庫(kù)
    • 發(fā)布時(shí)間：2021-06-15
    • 更新時(shí)間：2021-06-15

    漏洞簡(jiǎn)介

    Flask-Unchained是開(kāi)源的一個(gè) Flask 擴(kuò)展、一個(gè)可插拔的應(yīng)用程序工廠和一組可選的“包”，它們共同為Flask 及其擴(kuò)展生態(tài)系統(tǒng)創(chuàng)建了一個(gè)現(xiàn)代的、完全集成的、高度可定制的 Web 框架。

    Flask-Unchained 0.9.0之前版本存在安全漏洞，該漏洞源于使用 _validate_redirect_url 函數(shù)時(shí)，可以通過(guò)提供多個(gè)反斜杠（例如 ＼evil.com/path）繞過(guò) URL 驗(yàn)證并將用戶重定向到任意 URL。只有當(dāng)使用了除Werkzeug之外的另一個(gè)WSGI服務(wù)器，或者使用“autocorrect location header=False ”修改了Werkzeug的默認(rèn)行為時(shí)，才會(huì)利用此漏洞。

    漏洞公示

    目前廠商已發(fā)布升級(jí)補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：

    https://github.com/briancappello/flask-unchained/releases/tag/v0.9.0

    參考網(wǎng)站

    來(lái)源:nvd.nist.gov

    鏈接:https://nvd.nist.gov/vuln/detail/CVE-2021-23393

    受影響實(shí)體

    暫無(wú)

    補(bǔ)丁