CVE-2023-43804
ÉlevéPublié
L'en-tête HTTP Cookie n'est pas supprimé lors des redirections cross-origin
- Publié
- 4 oct. 2023
- Mise à jour
- 3 nov. 2025
- Attribution de CNA
- GitHub_M
- Preuve observée
- 20 sept. 2026
CVSS primaire
8,1/ 10Élevé
L'en-tête HTTP Cookie n'est pas supprimé lors des redirections cross-origin
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NFaible · 30 prochains jours
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
urllib3 est une bibliothèque client HTTP conviviale pour Python. urllib3 ne traite pas l'en-tête HTTP `Cookie` de manière spéciale et ne fournit aucun utilitaire pour gérer les cookies via HTTP, cela relève de la responsabilité de l'utilisateur. Cependant, il est possible pour un utilisateur de spécifier un en-tête `Cookie` et de divulguer involontairement des informations via des redirections HTTP vers une origine différente si cet utilisateur ne désactive pas explicitement les redirections. Ce problème a été corrigé dans urllib3 version 1.26.17 ou 2.0.5.
Labo conteneurisé à trois niveaux reproduisant la fuite de cookies urllib3 de CVE-2023-43804 via des redirections cross-origin, avec script d'exploitation et vérification du correctif.
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.