Заголовок `Set-Cookie:` с использованием табуляции (горизонтальная табуляция, код ASCII 9) вместо
пробел (код ASCII 32) непосредственно перед атрибутом «Secure» заставляет завиток
сохраните файл cookie без флага безопасности. В этом случае файл cookie может быть ошибочно
отправляется по HTTP в виде открытого текста при последующих запросах к тому же хосту.
Показать оригинальное описание (EN)
A `Set-Cookie:` header using tab (horizontal tab, ASCII code 9) instead of space (ascii code 32) immediately before the `Secure` attribute causes curl to store the cookie without its Secure flag. The cookie might then wrongfully be sent over plaintext HTTP on subsequent requests to the same host.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Haxx Curl
cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:*
|
8.13.0
|
8.22.0
|