FICHE CVE

CVE-2026-54279

Publiée le 2026-06-22 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les applications Python utilisant le framework aiohttp (versions antérieures à 3.14.1) peuvent ne pas respecter la restriction « host-only » des cookies lors de leur enregistrement et de leur rechargement depuis un fichier. Si un attaquant parvient à inciter un utilisateur à visiter un site malveillant, il pourrait potentiellement intercepter ces cookies pour effectuer des requêtes non autorisées. Il s'agit d'un problème à faible risque qui nécessite une interaction de l'utilisateur ainsi qu'une logique spécifique de gestion des cookies pour être exploitable.

CVSS 4.01.3 FAIBLE

Type de faiblesse

CWE-665

Publiée2026-06-22

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

Description officielle du NVD (en anglais)

AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, host-only cookies that are saved with CookieJar.save() and then restored later with CookieJar.load() lose their host-only status. This vulnerability is fixed in 3.14.1.