CVE-2020-28476 en el paquete tornado

vulnerabilidad

Todas las versiones del paquete tornado son vulnerables al envenenamiento de caché web mediante el uso de un vector llamado encubrimiento de parámetros

Cuando el atacante puede separar los parámetros de la consulta usando un punto y coma (;), pueden causar una diferencia en la interpretación de la solicitud entre el proxy (que se ejecuta con la configuración predeterminada) y el servidor. Esto puede hacer que las solicitudes maliciosas se almacenen en caché como completamente seguras, ya que el proxy normalmente no verá el punto y coma como un separador y, por lo tanto, no lo incluiría en una clave de caché de un parámetro sin clave.

Referencias:

https://snyk.io/vuln/SNYK-PYTHON-TORNADO-1017109

Gracias por visitar este sitio, espero que te haya gustado y vuelvas proximamente, compartela en las redes sociales, gracias

Compartir en Facebook Compartir en twitter

Semrush sigue a tu competencia

Fecha actualización el 2021-01-19. Fecha publicación el 2021-01-19. Categoría: vulnerabilidad Autor: Oscar olg Mapa del sitio Fuente: NIST