Anmelden
Deutsch English Español Polski
Mittel

CRLF injection in urllib3

  • Veröffentlicht: 30.09.2020
  • Aktualisiert: 11.10.2026 11:20

urllib3 before 1.25.9 allows CRLF injection if the attacker controls the HTTP request method, as demonstrated by inserting CR and LF control characters in the first argument of putrequest(). NOTE: this is similar to CVE-2020-26116.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) urllib3 < 1.25.9 1.25.9

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE)
CWE-74
Plattform
Python (PyPI)
Paket
urllib3
Veröffentlicht
30.09.2020
Aktualisiert
11.10.2026 11:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2020-148 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-wqvq-5m8c-6g24 - CC BY 4.0

Schwachstellenhistorie: urllib3

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (22) im Archiv
Einträge insgesamt
22
Erste → letzte
01.2017 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 11
  • Mittel 10

Veröffentlichungen pro Jahr

Schweregrad:
  1. urllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
    Hoch CVE-2026-97689 >= 1.10.3, < 2.8.0 2.8.0
  2. urllib3: HTTPS proxy TLS configuration may be ignored or overridden
    Hoch CVE-2026-97687 >= 1.26.0, < 2.8.0 2.8.0
  3. urllib3: Decompression-bomb safeguards bypassed in parts of the streaming API
    Hoch · 7.5 CVE-2026-44432 >= 2.6.0, < 2.7.0 2.7.0
  4. urllib3: Sensitive headers forwarded across origins in proxied low-level redirects
    Hoch · 5.3 CVE-2026-44431 >= 1.23, < 2.7.0 2.7.0
  5. Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)
    Hoch · 7.5 CVE-2026-21441 >= 1.22, < 2.6.3 2.6.3
  6. urllib3 streaming API improperly handles highly compressed data
    Hoch CVE-2025-66471 >= 1.0, < 2.6.0 2.6.0
  7. urllib3 allows an unbounded number of links in the decompression chain
    Hoch CVE-2025-66418 >= 1.24, < 2.6.0 2.6.0
  8. `Cookie` HTTP header isn't stripped on cross-origin redirects
    Hoch · 5.9 CVE-2023-43804 >= 2.0.0, < 2.0.6, < 1.26.17 2.0.6, 1.26.17
  9. Catastrophic backtracking in URL authority parser when passed URL containing many @ characters
    Hoch · 7.5 CVE-2021-33503 >= 1.25.4, < 1.26.5 1.26.5
  10. CRLF injection in urllib3 dieser Eintrag
    Mittel · 6.5 CVE-2020-26137 < 1.25.9 1.25.9
  11. Uncontrolled Resource Consumption in urllib3
    Hoch · 7.5 CVE-2020-7212 >= 1.25.2, < 1.25.8 1.25.8
  12. Improper Certificate Validation in urllib3
    Hoch · 7.5 CVE-2019-11324 < 1.24.2 1.24.2
  13. Exposure of Sensitive Information to an Unauthorized Actor in urllib3
    Kritisch · 9.8 CVE-2018-20060 < 1.23 1.23

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.