Cookie leakage between different users in fastapi-proxy-lib
Impact
In the implementation of version 0.0.1, requests from different user clients are processed using a shared httpx.AsyncClient.
However, one oversight is that the httpx.AsyncClient will persistently store cookies based on the set-cookie response header sent by the target server and share these cookies across different user requests.
This results in a cookie leakage issue among all user clients sharing the same httpx.AsyncClient.
Patches
It's fixed in 0.1.0
Workarounds
If you insist 0.0.1:
- Do not use
ForwardHttpProxyat all. - Do not use
ReverseHttpProxyorReverseWebSocketProxyfor any servers that may potentially send aset-cookieresponse.
However, it's best to upgrade to the latest version.
References
fixed in #10
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | fastapi-proxy-lib | < 0.1.0 | 0.1.0 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
-- Platforma
- Python (PyPI)
- Paczka
fastapi-proxy-lib- Ujawniono
- 01.12.2023
- Aktualizacja
- 11.10.2026 12:18
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-7vwr-g6pm-9hc8 - CC BY 4.0
Historia podatności: fastapi-proxy-lib
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.