CVE-2026-53537
Publiée le 2026-06-22 · Dernière modification le 2026-10-25
Les applications utilisant la bibliothèque `python-multipart` (versions antérieures à 0.0.30) pour analyser les téléchargements de fichiers sont concernées. Un attaquant distant non authentifié peut utiliser des en-têtes spécialement conçus pour contourner les filtres de sécurité ou les WAF, permettant ainsi d'introduire des noms de fichiers ou des noms de champs inattendus dans votre backend. Cette attaque est difficile à exécuter car elle nécessite une divergence spécifique dans la manière dont votre proxy amont et votre serveur backend interprètent l'encodage des en-têtes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Python-Multipart is a streaming multipart parser for Python. Prior to 0.0.30, parse_options_header parsed Content-Disposition (and Content-Type) headers with email.message.Message, which transparently applies RFC 2231/5987 decoding. The extended parameter syntax (filename*=charset'lang'value, name*=..., and the filename*0/filename*1 continuation form) is decoded and surfaced under the bare filename/name key, and overrides the plain parameter when both are present. RFC 7578 §4.2 explicitly forbids the filename* form in multipart/form-data. Components that follow RFC 7578, or that do not implement RFC 2231/5987 decoding for multipart/form-data (WAFs, proxies, gateways), may interpret such a header differently. An attacker can exploit that difference to smuggle a different field name or filename past an upstream inspector to the backend. This vulnerability is fixed in 0.0.30.