Veille sécuritéBackend & données
P4Non déterminée
`http.client` ne rejetait pas les octets CR/LF dans le nom d’hôte du tunnel proxy ni dans ses en-têtes de requête. Un attaquant pouvait ainsi injecter des en-têtes HTTP dans la requête de tunnel.
DebianPython
IdentifiantCVE-2026-1502
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
Le problème porte sur la construction des requêtes de tunnel proxy dans `http.client`. Le bulletin Debian annonce une mise à jour de sécurité de Python 3.11, sans indiquer la version corrigée.
Impact, versions et correctif
Événement datéRetenu car le bulletin Debian DLA-4827-1, publié le 2026-10-08, annonce un correctif de sécurité couvrant cette CVE.
ImpactInjection d’en-têtes HTTP lors de l’utilisation de tunnels proxy.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,56% · percentile 45,0%
Publication2026-10-08
Mise à jour2026-10-08
Action recommandée
Appliquer la mise à jour de sécurité Debian pour python3.11.
Sources
Priorisation DFS : P4 · 1 source(s).