CVE-2026-6019
Publiée le 2026-04-22 · Dernière modification le 2026-10-26
Les applications utilisant la bibliothèque Python `http.cookies` pour générer des extraits JavaScript sont vulnérables au cross-site scripting (XSS) car le logiciel ne neutralise pas correctement la balise `</script>`. Un attaquant disposant de privilèges administratifs de haut niveau pourrait utiliser cette faille pour injecter des scripts malveillants dans une page. L'exploitation est relativement difficile, car elle nécessite que l'attaquant dispose déjà d'un accès authentifié au système pour définir la valeur malveillante du cookie.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
http.cookies.Morsel.js_output() returns an inline <script> snippet and only escapes " for JavaScript string context. It does not neutralize the HTML parser-sensitive sequence </script> inside the generated script element. Mitigation base64-encodes the cookie value to disallow escaping using cookie value.