JVNDB-2026-016326

Python Software Foundationのcpythonにおける複数の脆弱性

http.cookies.Morsel.js_output() は、インラインの script スニペットを返しますが、JavaScript の文字列コンテキスト内で " のみをエスケープします。生成されたスクリプト要素内の HTML パーサーに敏感なシーケンス /script を無効化しません。緩和策として、クッキー値を base64 エンコードして、クッキー値によるエスケープの問題を防止します。

Python Software Foundation

• cpython 3.15.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Python Software Foundation

• Mailing Lists : Mailman 3 [CVE-2026-6019] BaseCookie.js_output() does not neutralize characters in cookie value embedded in JS - Security-announce - python.org

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [NVD評価]
2. エスケープ、メタ、またはコントロールシーケンスの不適切な無効化(CWE-150) [その他]

1. CVE-2026-6019

1. National Vulnerability Database (NVD) : CVE-2026-6019
2. 関連文書 : gh-90309: Base64-encode cookie values embedded in JS  python/cpython@76b3923  GitHub
3. 関連文書 : gh-90309: Base64-encode cookie values embedded in JS by sethmlarson  Pull Request #148848  python/cpython  GitHub
4. 関連文書 : [3.14] gh-90309: Base64-encode cookie values embedded in JS (GH-148889)  python/cpython@f795e04  GitHub
5. 関連文書 : SimpleCookie.js_output is vulnerable to HTML injection  Issue #90309  python/cpython
6. 関連文書 : [3.13] gh-90309: Base64-encode cookie values embedded in JS (GH-148888)  python/cpython@3c59b8b  GitHub

• [2026年05月20日]
    掲載