CVE-2024-37891

mediumPriorität · verfolgen · 26EPSS 0.011 · 66. PerzentilDEEUNLRUUS
grimoire priorityP3 · Track
Exploitable?
—
no known exploitation
Likely / severe?
1.14% (66th) EPSS
CVSS 6.5 · medium
Is it mine?
344 products
Prüfe deine Angriffsfläche
Who says so?
6 sources
cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-22

urllib3 is a user-friendly HTTP client library for Python. When using urllib3's proxy support with `ProxyManager`, the `Proxy-Authorization` header is only sent to the configured proxy, as expected. However, when sending HTTP requests *without* using urllib3's proxy support, it's possible to accidentally configure the `Proxy-Authorization` header even though it won't have any effect as the request is not using a forwarding proxy or a tunneling proxy. In those cases, urllib3 doesn't treat the `Proxy-Authorization` HTTP header as one carrying authentication material and thus doesn't strip the header on cross-origin redirects. Because this is a highly unlikely scenario, we believe the severity of this vulnerability is low for almost all users. Out of an abundance of caution urllib3 will automatically strip the `Proxy-Authorization` header during cross-origin redirects to avoid the small chance that users are doing this on accident. Users should use urllib3's proxy support or disable automatic redirects to achieve safe processing of the `Proxy-Authorization` header, but we still decided to strip the header by default in order to further protect users who aren't using the correct approach. We believe the number of usages affected by this advisory is low. It requires all of the following to be true to be exploited: 1. Setting the `Proxy-Authorization` header without using urllib3's built-in proxy support. 2. Not disabling HTTP redirects. 3. Either not using an HTTPS origin server or for the proxy or target origin to redirect to a malicious origin. Users are advised to update to either version 1.26.19 or version 2.2.2. Users unable to upgrade may use the `Proxy-Authorization` header with urllib3's `ProxyManager`, disable HTTP redirects using `redirects=False` when sending requests, or not user the `Proxy-Authorization` header as mitigations.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

6.5
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 3.6
v3.14.4mediumAV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:Nsecondary · FSTEC (BDU) RU
v3.14.4mediumCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:Nsecondary · ENISA EU
v3.14.4mediumCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:Nsecondary · security-advisories@github.comAusnutzbarkeit 0.7 · Auswirkung 3.6
v3.14.4mediumCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:Nsecondary · OSV
v3.16mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)
v3.14.4mediumCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:Nsecondary · NCSC-NL NL
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-669USCWE-669USCWE-669USCWE-669US
04

betroffene Produkte (344)

Betroffene Produkte und Versionsbereiche.

20 von 344 angezeigt
05

Advisories (29)

Hersteller- und Ökosystem-Meldungen dazu.

  • NCSC-2024-0414Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-10-17csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in diverse Communications producten en systemen.

  • NCSC-2025-0021Kwetsbaarheden verholpen in Oracle CommunicationsNL2025-01-22csaf · ncsc_nlNL

    Oracle heeft meerdere kwetsbaarheden verholpen in zijn Communicatieproducten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Network Function en Oracle Communications Order and Service Management.

  • NCSC-2025-0023Kwetsbaarheden verholpen in Oracle PeopleSoftNL2025-01-22csaf · ncsc_nlNL

    Oracle heeft meerdere kwetsbaarheden verholpen in Oracle PeopleSoft, specifiek in de versies 8.60, 8.61 en 9.2.

  • NCSC-2025-0028Kwetsbaarheden verholpen in Oracle AnalyticsNL2025-01-22csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in Oracle Analytics producten, zoals Business Intelligence, Analytics Desktop en BI Publisher.

  • NCSC-2025-0123Kwetsbaarheden verholpen in Oracle Database ProductenNL2025-04-16csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in diverse Oracle Database Producten en subsystemen, zoals Oracle Server, NoSQL, TimesTen, Secure Backup en Essbase.

  • NCSC-2025-0124Kwetsbaarheden verholpen in Oracle CommunicationsNL2025-04-16csaf · ncsc_nlNL

    Oracle heeft meerdere kwetsbaarheden verholpen in Oracle Communications producten, waaronder de Cloud Native Core en Policy Management.

  • NCSC-2025-0127Kwetsbaarheden verholpen in Oracle Financial ServicesNL2025-04-16csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in verschillende Financial Services producten

  • NCSC-2025-0129Kwetsbaarheden verholpen in Oracle AnalyticsNL2025-04-16csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in Oracle Analytics.

  • WID-SEC-W-2024-1562Red Hat Enterprise Linux: Schwachstelle ermöglicht Offenlegung von InformationenDeutsch2024-07-09csaf · cert_bundDE

    Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Red Hat Enterprise Linux und Red Hat Ansible Automation Platform ausnutzen, um Informationen offenzulegen.

  • WID-SEC-W-2024-1802IBM Business Automation Workflow: Mehrere SchwachstellenDeutsch2024-08-08csaf · cert_bundDE

    Ein entfernter Angreifer kann mehrere Schwachstellen in IBM Business Automation Workflow ausnutzen, um Informationen offenzulegen oder beliebigen Code auszuführen.

  • WID-SEC-W-2024-1865F5 BIG-IP: Mehrere SchwachstellenDeutsch2024-08-14csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in F5 BIG-IP ausnutzen, um Sicherheitsvorkehrungen zu umgehen, einen Denial-of-Service-Zustand zu erzeugen und vertrauliche Informationen offenzulegen.

  • WID-SEC-W-2024-1913Red Hat OpenShift Container Platform: Mehrere SchwachstellenDeutsch2024-08-22csaf · cert_bundDE

    Ein entfernter anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Red Hat OpenShift Container Platform ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, einen Denial-of-Service-Zustand zu erzeugen, vertrauliche Informationen offenzulegen, Dateien und Daten zu manipulieren oder Sicherheitsmaßnahmen zu umgehen.

  • WID-SEC-W-2024-2102IBM InfoSphere Information Server: Mehrere SchwachstellenDeutsch2024-09-10csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in IBM InfoSphere Information Server ausnutzen, um Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen oder einen Denial of Service zu verursachen.

  • WID-SEC-W-2024-2229Red Hat Ansible Automation Platform: Mehrere SchwachstellenDeutsch2024-09-26csaf · cert_bundDE

    Ein entfernter Angreifer kann mehrere Schwachstellen in Red Hat Ansible Automation Platform ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen oder vertrauliche Informationen offenzulegen.

  • WID-SEC-W-2024-3054Splunk Add-on for Amazon Web Services: Mehrere SchwachstellenDeutsch2024-09-30csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Splunk Add-on for Amazon Web Services ausnutzen, um einen Denial-of-Service-Zustand zu erzeugen, vertrauliche Informationen preiszugeben und Daten zu manipulieren.

  • WID-SEC-W-2024-3195Oracle Communications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3317IBM QRadar SIEM: Mehrere SchwachstellenDeutsch2024-10-30csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM QRadar SIEM ausnutzen, um beliebigen Code auszuführen, einen Denial-of-Service-Zustand zu erzeugen, Sicherheitsmaßnahmen zu umgehen, unspezifische Angriffe durchzuführen oder vertrauliche Informationen offenzulegen.

  • WID-SEC-W-2024-3731IBM Sterling Connect: Direct Web Service: Mehrere SchwachstellenDeutsch2024-12-18csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in IBM Sterling Connect: Direct Web Service ausnutzen, um Informationen offenzulegen und Sicherheitsmaßnahmen zu umgehen.

  • WID-SEC-W-2025-0135Oracle Communications Applications: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-0148Oracle Communications: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-0161Oracle Utilities Applications: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Utilities Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-0166Oracle PeopleSoft: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle PeopleSoft ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-0225Dell PowerProtect Data Domain: Mehrere SchwachstellenDeutsch2025-01-30csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Dell PowerProtect Data Domain ausnutzen, um erhöhte Rechte zu erlangen, einen Denial-of-Service-Zustand herbeizuführen und einen nicht näher spezifizierten Angriff durchzuführen.

  • WID-SEC-W-2025-0819Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2025-04-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-0823Oracle Communications: Mehrere SchwachstellenDeutsch2025-04-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-1559Oracle Communications: Mehrere SchwachstellenDeutsch2025-07-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-1567Oracle MySQL: Mehrere SchwachstellenDeutsch2025-07-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle MySQL ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • GHSA-34jh-p97f-mpxfurllib3's Proxy-Authorization request header isn't stripped during cross-origin redirects2024-06-17ghsa · osvUS

    When using urllib3's proxy support with `ProxyManager`, the `Proxy-Authorization` header is only sent to the configured proxy, as expected. However, when sending HTTP requests *without* using urllib3's proxy support, it's possible to accidentally configure the `Proxy-Authorization` header even though it won't have any effect as the request is not using a forwarding proxy or a tunneling proxy. In those cases, urllib3 doesn't treat the `Proxy-Authorization` HTTP header as one carrying authentication material and thus doesn't strip the header on cross-origin redirects. Because this is a highly unlikely scenario, we believe the severity of this vulnerability is low for almost all users. Out of an abundance of caution urllib3 will automatically strip the `Proxy-Authorization` header during cross-origin redirects to avoid the small chance that users are doing this on accident. Users should use urllib3's proxy support or disable automatic redirects to achieve safe processing of the `Proxy-Authorization` header, but we still decided to strip the header by default in order to further protect users who aren't using the correct approach. ## Affected usages We believe the number of usages affected by this advisory is low. It requires all of the following to be true to be exploited: * Setting the `Proxy-Authorization` header without using urllib3's built-in proxy support. * Not disabling HTTP redirects. * Either not using an HTTPS origin server or for the proxy or target origin to redirect to a malicious origin. ## Remediation * Using the `Proxy-Authorization` header with urllib3's `ProxyManager`. * Disabling HTTP redirects using `redirects=False` when sending requests. * Not using the `Proxy-Authorization` header.

  • PYSEC-2026-1995urllib3's Proxy-Authorization request header isn't stripped during cross-origin redirects2026-07-07vendor · osvUS

    When using urllib3's proxy support with `ProxyManager`, the `Proxy-Authorization` header is only sent to the configured proxy, as expected. However, when sending HTTP requests *without* using urllib3's proxy support, it's possible to accidentally configure the `Proxy-Authorization` header even though it won't have any effect as the request is not using a forwarding proxy or a tunneling proxy. In those cases, urllib3 doesn't treat the `Proxy-Authorization` HTTP header as one carrying authentication material and thus doesn't strip the header on cross-origin redirects. Because this is a highly unlikely scenario, we believe the severity of this vulnerability is low for almost all users. Out of an abundance of caution urllib3 will automatically strip the `Proxy-Authorization` header during cross-origin redirects to avoid the small chance that users are doing this on accident. Users should use urllib3's proxy support or disable automatic redirects to achieve safe processing of the `Proxy-Authorization` header, but we still decided to strip the header by default in order to further protect users who aren't using the correct approach. ## Affected usages We believe the number of usages affected by this advisory is low. It requires all of the following to be true to be exploited: * Setting the `Proxy-Authorization` header without using urllib3's built-in proxy support. * Not disabling HTTP redirects. * Either not using an HTTPS origin server or for the proxy or target origin to redirect to a malicious origin. ## Remediation * Using the `Proxy-Authorization` header with urllib3's `ProxyManager`. * Disabling HTTP redirects using `redirects=False` when sending requests. * Not using the `Proxy-Authorization` header.

06

auch bekannt als (8)

Weitere Namen und Kennungen dieser Entität.

07

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdfstec_bduosvcert_bundncsc_nlNVDCVE.orgMITRE
veröffentlicht 2024-06-17geändert 2026-06-17
08

Referenzen (19)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan