CVE-2023-27043mediumCWE-1286CWE-20

CVE-2023-27043

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear pypy3+ Monitorear python3

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 2.5%
En resumen

El módulo de email de Python interpreta incorrectamente direcciones de email que contienen caracteres especiales, permitiendo que atacantes eludan verificaciones de dominio. Un atacante podría registrarse o acceder usando una dirección falsificada que parece válida pero no proviene realmente del dominio permitido.

Detalle técnico

El analizador de email en email/_parseaddr.py de Python maneja incorrectamente headers RFC2822 que contienen caracteres especiales, causando extracción errónea de la porción addr-spec. Esto habilita ataques de elusión de autenticación donde filtros basados en dominio (ej: requerir @company.example.com) pueden ser contorneados usando direcciones malformadas que se analizan incorrectamente por la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.
The email module of Python through 3.11.3 incorrectly parses e-mail addresses that contain a special character. The wrong portion of an RFC2822 header is identified as the value of the addr-spec. In some applications, an attacker can bypass a protection mechanism in which application access is granted only after verifying receipt of e-mail to a specific domain (e.g., only @company.example.com addresses may be used for signup). This occurs in email/_parseaddr.py in recent versions of Python.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Productos afectados
n/a · n/a