libtaxii Server-Side Request Forgery vulnerability

NGHIÊM TRỌNG 9.8CVE-2020-27197 · GHSA-836c-xg97-8p4h · PYSEC-2020-59 · Công bố 17/10/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-27197 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng libtaxii, opentaxii (eclecticiq), libtaxii (libtaxii project).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.3%, cao hơn 83.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.1.118 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
libtaxii PyPI	`< 1.1.118`	`1.1.118`
opentaxii eclecticiq	`≤ 0.2.0`	Chưa có bản vá
libtaxii libtaxii_project	`≤ 1.1.117`	Chưa có bản vá

Mô tả

"TAXII libtaxii through 1.1.117, as used in EclecticIQ OpenTAXII through 0.2.0 and other products, allows SSRF via an initial http:// substring to the parse method, even when the no_network setting is used for the XML parser. NOTE: the vendor points out that the parse method "wraps the lxml library" and that this may be an issue to "raise ... to the lxml group.""

Mô tả của NVD

TAXII libtaxii through 1.1.117, as used in EclecticIQ OpenTAXII through 0.2.0 and other products, allows SSRF via an initial http:// substring to the parse method, even when the no_network setting is used for the XML parser. NOTE: the vendor points out that the parse method "wraps the lxml library" and that this may be an issue to "raise ... to the lxml group.