Iniciar sesión
Deutsch English Español Polski
Media

CRLF injection in urllib3

  • Publicada: 30.09.2020
  • Actualizado: 11.10.2026 11:20

urllib3 before 1.25.9 allows CRLF injection if the attacker controls the HTTP request method, as demonstrated by inserting CR and LF control characters in the first argument of putrequest(). NOTE: this is similar to CVE-2020-26116.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) urllib3 < 1.25.9 1.25.9

Referencias

Puntuación CVSS 6.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Debilidad (CWE)
CWE-74
Plataforma
Python (PyPI)
Paquete
urllib3
Publicada
30.09.2020
Actualizado
11.10.2026 11:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2020-148 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-wqvq-5m8c-6g24 - CC BY 4.0

Historial de vulnerabilidades: urllib3

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (22) en el archivo
Entradas en total
22
Primera → última
01.2017 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 1
  • Alta 11
  • Media 10

Divulgaciones por año

Gravedad:
  1. urllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
    Alta CVE-2026-97689 >= 1.10.3, < 2.8.0 2.8.0
  2. urllib3: HTTPS proxy TLS configuration may be ignored or overridden
    Alta CVE-2026-97687 >= 1.26.0, < 2.8.0 2.8.0
  3. urllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
    Alta · 7.5 CVE-2026-44432 >= 2.6.0, < 2.7.0 2.7.0
  4. urllib3: Sensitive headers forwarded across origins in proxied low-level redirects
    Alta · 5.3 CVE-2026-44431 >= 1.23, < 2.7.0 2.7.0
  5. Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
    Alta · 7.5 CVE-2026-21441 >= 1.22, < 2.6.3 2.6.3
  6. urllib3 streaming API improperly handles highly compressed data
    Alta CVE-2025-66471 >= 1.0, < 2.6.0 2.6.0
  7. urllib3 allows an unbounded number of links in the decompression chain
    Alta CVE-2025-66418 >= 1.24, < 2.6.0 2.6.0
  8. `Cookie` HTTP header isn't stripped on cross-origin redirects
    Alta · 5.9 CVE-2023-43804 >= 2.0.0, < 2.0.6, < 1.26.17 2.0.6, 1.26.17
  9. Catastrophic backtracking in URL authority parser when passed URL containing many @ characters
    Alta · 7.5 CVE-2021-33503 >= 1.25.4, < 1.26.5 1.26.5
  10. CRLF injection in urllib3 esta entrada
    Media · 6.5 CVE-2020-26137 < 1.25.9 1.25.9
  11. Uncontrolled Resource Consumption in urllib3
    Alta · 7.5 CVE-2020-7212 >= 1.25.2, < 1.25.8 1.25.8
  12. Improper Certificate Validation in urllib3
    Alta · 7.5 CVE-2019-11324 < 1.24.2 1.24.2
  13. Exposure of Sensitive Information to an Unauthorized Actor in urllib3
    Crítica · 9.8 CVE-2018-20060 < 1.23 1.23

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.