CVE-2026-53538
Publiée le 2026-06-22 · Dernière modification le 2026-10-25
Les applications Python utilisant la bibliothèque `python-multipart` (avant la version 0.0.30) sont sensibles à une divergence d'analyse concernant la manière dont les données de formulaire sont fractionnées. Un attaquant distant non authentifié peut envoyer une requête spécialement conçue pour dissimuler des champs de formulaire et contourner les filtres de sécurité ou les répartiteurs de charge (load balancers) qui interprètent les données différemment de l'application. Bien que cela permette une manipulation limitée de la logique applicative, l'exécution est difficile car elle nécessite une configuration architecturale spécifique où un proxy de sécurité est placé devant le serveur Python.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Python-Multipart is a streaming multipart parser for Python. Prior to 0.0.30, QuerystringParser treated ; as a field separator in application/x-www-form-urlencoded bodies, in addition to &. The WHATWG URL standard, modern browsers, and Python's urllib.parse (since the CVE-2021-23336 fix) treat only & as a separator. This creates a parser differential: the same bytes are tokenized into different fields than a WHATWG compliant intermediary would produce, allowing an attacker to smuggle extra form fields past an upstream body inspecting component. This vulnerability is fixed in 0.0.30.