CVE-2022-29361

CríticoPublicado

** EN DISPUTA ** Un análisis inapropiado de las peticiones HTTP en Pallets Werkzeug versiones v2.1.0 y anteriores, permite a atacantes llevar a cabo un...

Publicado: 24 may 2022
Actualizado: 3 ago 2024
Asignación de CNA: mitre
Evidencia observada: 8 ago 2026

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

8,1 %

Bajo · próximos 30 días

Percentil: 94,6 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

** EN DISPUTA ** Un análisis inapropiado de las peticiones HTTP en Pallets Werkzeug versiones v2.1.0 y anteriores, permite a atacantes llevar a cabo un contrabando de peticiones HTTP usando una petición HTTP diseñada con múltiples peticiones incluidas en el cuerpo. NOTA: la posición del proveedor es que este comportamiento sólo puede ocurrir en configuraciones no soportadas que implican el modo de desarrollo y un servidor HTTP desde fuera del proyecto Werkzeug

Fuentes

Werkzeug-CVE-2022-29361-PoCPoC
Exploit de prueba de concepto para CVE-2022-29361, que demuestra la ejecución remota de código a través de la consola de depuración de Werkzeug en aplicaciones web Python.
CVE-2022-29361_Werkzeug_Client-Side-Desync-to-XSSPoC
Exploit de prueba de concepto para CVE-2022-29361, que demuestra desync del lado del cliente a XSS en Werkzeug. Probado en Chromium.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.