CVE-2026-105782
Publiée le 2026-10-06 · Dernière modification le 2026-10-06
Les applications Python utilisant le framework de crawling web Scrapy (versions 1.4.0 à 2.14.2) sont concernées. Un site web malveillant peut faire planter votre crawler en envoyant un en-tête de réponse spécialement conçu qui incite Scrapy à exécuter une fonction Python arbitraire, telle que `sys.exit`. Cette attaque est facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur ; elle se produit automatiquement dès que votre crawler visite la page compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Scrapy is a high-level web crawling and scraping framework for Python. From 1.4.0 until 2.14.2, RefererMiddleware in scrapy/spidermiddlewares/referer.py treated a Referrer-Policy response-header value that resembled a Python import path as a referrer policy class, imported the referenced object, and called it. A malicious website could supply a callable such as sys.exit and terminate a crawler processing the response. This issue is fixed in version 2.14.2.