Requests vulnerable to .netrc credentials leak via malicious URLs
Fonte: OSV.dev — Vulnerabilidades Open Source | Jurisdição: Internacional | Tipo: Incidente
Vulnerabilidade registrada no OSV.dev. ID: GHSA-9hjg-9r4m-mvj7. Resumo: Requests vulnerable to .netrc credentials leak via malicious URLs. Detalhes: ### Impact
Due to a URL parsing issue, Requests releases prior to 2.32.4 may leak .netrc credentials to third parties for specific maliciously-crafted URLs.
### Workarounds
For older versions of Requests, use of the .netrc file can be disabled with `trust_env=False` on your Requests Session ([docs](https://requests.readthedocs.io/en/latest/api/#requests.Session.trust_env)).
### References
https. Severidade: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N. Afeta: PyPI/requests. Publicado: 2025-06-09. Atualizado: 2026-02-04. CVEs: CVE-2024-47081. References: https://github.com/psf/requests/security/advisories/GHSA-9hjg-9r4m-mvj7, https://nvd.nist.gov/vuln/detail/CVE-2024-47081, https://github.com/psf/requests/pull/6965, https://github.com/psf/requests/commit/96ba401c1296ab1dda74a2365ef36d88f7d144ef, https://github.com/psf/requests.
Vulnerabilidade identificada na biblioteca Python Requests (versões anteriores a 2.32.4), registrada como GHSA-9hjg-9r4m-mvj7 e CVE-2024-47081, com severidade CVSS 3.1 (Alta). A falha reside em um problema de análise de URLs que permite o vazamento de credenciais armazenadas em arquivos .netrc para terceiros quando URLs maliciosamente construídas são processadas. O impacto é limitado a cenários específicos (AC:H – complexidade de acesso alta, UI:R – requer interação do usuário), mas resulta em comprometimento de confidencialidade (C:H). Mitigação disponível: desabilitar o uso de .netrc configurando trust_env=False na sessão Requests. Afeta aplicações que utilizam a biblioteca Requests com autenticação via .netrc e processam URLs de fontes não confiáveis. Recomenda-se atualização imediata para versão 2.32.4 ou superior, ou implementação da mitigação recomendada. Organizações que dependem dessa biblioteca devem revisar políticas de gestão de credenciais e implementar controles adicionais de validação de URLs.
Fonte original: OSV.dev — Vulnerabilidades Open Source