CVE-2026-124249 http.cookiejar aplica Set-Cookie vencidas antes de validar la política de cookies
http.cookiejar.CookieJar eliminaba una cookie almacenada cuando una respuesta traía un encabezado Set-Cookie ya vencido para ella, usando los atributos Domain y Path del encabezado sin consultar la política de cookies. Así, un servidor podía borrar cookies de otros dominios de un cookie jar compartido, como el que usa HTTPCookieProcessor de urllib. La corrección consulta la política de cookies antes de que una cookie vencida pueda eliminar una existente, según RFC 6265 sección 5.3.
CVSS 4.0
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Python Software Foundation CPython
hasta antes de 3.16.0
Qué hacer
- Verificá si usás CPython y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 6.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
http.cookiejar.CookieJar deleted a stored cookie when a response carried an
already expired Set-Cookie header for it, using the Domain and Path
attributes from the header without consulting the cookie policy. A server
could therefore delete cookies belonging to other domains from a shared
cookie jar, such as the one used by urllib's HTTPCookieProcessor. The fix
consults the cookie policy before an expired cookie may delete an existing
one, as required by RFC 6265 section 5.3.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.