]> granicus.if.org Git - python/commit
#5871: protect against header injection attacks.
authorR. David Murray <rdmurray@bitdance.com>
Sun, 9 Jan 2011 02:35:24 +0000 (02:35 +0000)
committerR. David Murray <rdmurray@bitdance.com>
Sun, 9 Jan 2011 02:35:24 +0000 (02:35 +0000)
commit5b2d9ddf69cecfb9ad4e687fab3f34ecc5a9ea4f
treebb55bbeaa187a5bea36c3f5a7e3a1bd41d2157a1
parente3ee66f141706d1220129dcc53b990e66507f5f2
#5871: protect against header injection attacks.

This makes Header.encode throw a HeaderParseError if it winds up
formatting a header such that a continuation line has no leading
whitespace and looks like a header.  Since Header accepts values
containing newlines and preserves them (and this is by design), without
this fix any program that took user input (say, a subject in a web form)
and passed it to the email package as a header was vulnerable to header
injection attacks.  (As far as we know this has never been exploited.)

Thanks to Jakub Wilk for reporting this vulnerability.
Lib/email/header.py
Lib/email/test/test_email.py
Misc/NEWS