Пакет python/cpython от 0 и до 3.6.13, от 3.7.0 и до 3.7.10, от 3.8.0 и до 3.8.8, от 3.9.0 и до 3.9.2 уязвим для Web Cache Poisoning через …

Пакет python/cpython от 0 и до 3.6.13, от 3.7.0 и до 3.7.10, от 3.8.0 и до 3.8.8, от 3.9.0 и до 3.9.2 уязвим для Web Cache Poisoning через urllib.parse.parse_qsl и urllib.parse.parse_qs с использованием вектора, называемого parameter cloaking. Когда злоумышленник может разделять параметры запроса с помощью точки с запятой (;), он может вызвать разницу в интерпретации запроса между прокси (работающим с конфигурацией по умолчанию) и сервером. Это может привести к тому, что вредоносные запросы будут кэшироваться как совершенно безопасные, поскольку прокси обычно не видит точку с запятой в качестве разделителя и, следовательно, не включает ее в ключ кэша неключевого параметра.