Zaloguj się
Deutsch English Español Polski
Średnia

CRLF injection in urllib3

  • Ujawniono: 30.09.2020
  • Aktualizacja: 11.10.2026 11:20

urllib3 before 1.25.9 allows CRLF injection if the attacker controls the HTTP request method, as demonstrated by inserting CR and LF control characters in the first argument of putrequest(). NOTE: this is similar to CVE-2020-26116.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) urllib3 < 1.25.9 1.25.9

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-74
Platforma
Python (PyPI)
Paczka
urllib3
Ujawniono
30.09.2020
Aktualizacja
11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2020-148 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-wqvq-5m8c-6g24 - CC BY 4.0

Historia podatności: urllib3

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
01.2017 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 11
  • Średnia 10

Ujawnienia w latach

Istotność:
  1. urllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
    Wysoka CVE-2026-97689 >= 1.10.3, < 2.8.0 2.8.0
  2. urllib3: HTTPS proxy TLS configuration may be ignored or overridden
    Wysoka CVE-2026-97687 >= 1.26.0, < 2.8.0 2.8.0
  3. urllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
    Wysoka · 7.5 CVE-2026-44432 >= 2.6.0, < 2.7.0 2.7.0
  4. urllib3: Sensitive headers forwarded across origins in proxied low-level redirects
    Wysoka · 5.3 CVE-2026-44431 >= 1.23, < 2.7.0 2.7.0
  5. Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
    Wysoka · 7.5 CVE-2026-21441 >= 1.22, < 2.6.3 2.6.3
  6. urllib3 streaming API improperly handles highly compressed data
    Wysoka CVE-2025-66471 >= 1.0, < 2.6.0 2.6.0
  7. urllib3 allows an unbounded number of links in the decompression chain
    Wysoka CVE-2025-66418 >= 1.24, < 2.6.0 2.6.0
  8. `Cookie` HTTP header isn't stripped on cross-origin redirects
    Wysoka · 5.9 CVE-2023-43804 >= 2.0.0, < 2.0.6, < 1.26.17 2.0.6, 1.26.17
  9. Catastrophic backtracking in URL authority parser when passed URL containing many @ characters
    Wysoka · 7.5 CVE-2021-33503 >= 1.25.4, < 1.26.5 1.26.5
  10. CRLF injection in urllib3 ten wpis
    Średnia · 6.5 CVE-2020-26137 < 1.25.9 1.25.9
  11. Uncontrolled Resource Consumption in urllib3
    Wysoka · 7.5 CVE-2020-7212 >= 1.25.2, < 1.25.8 1.25.8
  12. Improper Certificate Validation in urllib3
    Wysoka · 7.5 CVE-2019-11324 < 1.24.2 1.24.2
  13. Exposure of Sensitive Information to an Unauthorized Actor in urllib3
    Krytyczna · 9.8 CVE-2018-20060 < 1.23 1.23

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.