Urwid: handle_short_request() crashes on non-ASCII POST body (UnicodeEncodeError DoS)

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Urwid is a console user interface library for Python. Prior to 4.0.7, handle_short_request() in urwid/display/web.py performs unguarded character encoding on POST input and unguarded UTF-8 decoding on polling update socket output. A remote attacker who obtains a valid X-Urwid-ID session token can submit non-ASCII POST data that raises UnicodeEncodeError, while non-UTF-8 polling output raises UnicodeDecodeError, causing the CGI handler to return an error and terminate request processing. The POST exception path also leaves an opened file descriptor unclosed for the CGI process lifetime, so repeated requests can cause denial of service for the web display interface. This issue is fixed in version 4.0.7.

Etkilenen sürümler1 yazılım

Kaynaklar6 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…/urwid/security/advisories/GHSA-cp25-j9x5-p5xm Diğer
• github.com/urwid/urwid/pull/1201 Diğer
• github.com/…ommit/b79d9a96843a6f5950bb2bfab5d059bdc61c538b Diğer
• github.com/urwid/urwid/releases/tag/4.0.7 Diğer

Kayıt geçmişi

1. 7 Kas 2026 00:33Yayımlandı

İlgili açıklar

• 9,4 CVE-2026-102530JupyterLab Desktop: Cross-Site Scripting (XSS) leading to Remote Code Execution on Connect URL
• 5,9 CVE-2026-120222undici vulnerable to Denial of Service via unhandled exception in cache-interceptor response replay
• 7,5 CVE-2026-122315Kyverno'da attestation tipi işlenirken çökme ve görüntü doğrulamasının atlanması
• 7,5 CVE-2026-122314Kyverno'da değişken yerine koyma hatası nedeniyle hizmet reddi (DoS) açığı
• 8,7 CVE-2026-76892tsParticles MCP sunucusu: Hatalı JSON isteği HTTP sürecini sonlandırabiliyor
• 5,1 CVE-2026-102345Zammad: Stored XSS in ticket article rendering in the new Vue-based interface