aiohttp-session Session Fixation vulnerability

中 6.5CVE-2018-1000519 · GHSA-fpwp-69xv-c67f · PYSEC-2018-80 · 26/06/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1000519 は aiohttp-session, aiohttp session (aio-libs) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 67.2% より高い）。
対処：2.4.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
aiohttp-session PyPI	`< 2.4.0`	`2.4.0`
aiohttp session aio-libs	`< 2.4.0`	`2.4.0`

概要

The pypi package aiohttp-session before 2.4.0 contained a Session Fixation vulnerability in load_session function for RedisStorage that can result in Session Hijacking. This attack appear to be exploitable via Any method that allows setting session cookies (?session=<>, or meta tags or script tags with Set-Cookie).

NVD の説明

aio-libs aiohttp-session contains a Session Fixation vulnerability in load_session function for RedisStorage (see: https://github.com/aio-libs/aiohttp-session/blob/master/aiohttp_session/redis_storage.py#L42) that can result in Session Hijacking. This attack appear to be exploitable via Any method that allows setting session cookies (?session=<>, or meta tags or script tags with Set-Cookie).