NVD / CVE Program· CNA mitre

CVE-2019-13611: An issue was discovered in python-engineio through 3.8.2.

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 35/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,85% (FIRST EPSS); выше, чем у 58,4% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Пользователь должен открыть ссылку или посетить страницу. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: python-engineio (Debian:12) 3.11.1-1; python-python-engineio (openSUSE:Tumbleweed) 4.3.4-3.3, 4.13.3-1.2; python-engineio (PyPI) 3.9.0.

Пока низкий приоритет. Обновитесь до python-engineio (Debian:12) 3.11.1-1; python-python-engineio (openSUSE:Tumbleweed) 4.3.4-3.3, 4.13.3-1.2; python-engineio (PyPI) 3.9.0 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An issue was discovered in python-engineio through 3.8.2. There is a Cross-Site WebSocket Hijacking (CSWSH) vulnerability that allows attackers to make WebSocket connections to a server by using a victim's credentials, because the Origin header is not restricted.

ВысокаяCVSS 8.8 · v3.0—Эксплойта нет Есть исправление

Опубликовано: 15 июл. 2019 г.
Обновлено: 16 июн. 2026 г.
EPSS: 0,8 % · 58-й процентиль
CWE: CWE-352

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,8 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ПродуктВерсия

Вендор	Продукт	CPE
python-engineio project	python-engineio	cpe:2.3:a:python-engineio_project:python-engineio

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

python-engineio project python-engineioдо 3.8.2 включительно

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:12	python-engineio	до 3.11.1-1	3.11.1-1
openSUSE:Tumbleweed	python-python-engineio	до 4.3.4-3.3	4.3.4-3.3
openSUSE:Tumbleweed	python-python-engineio	до 4.13.3-1.2	4.13.3-1.2
PyPI	python-engineio	до 3.9.0	3.9.0
SUSE:HPE Helion OpenStack 8	ardana-ansible	до 8.0+git.1566374355.c509923-3.67.3	8.0+git.1566374355.c509923-3.67.3
SUSE:HPE Helion OpenStack 8	ardana-glance	до 8.0+git.1566376789.be0fe01-3.17.3	8.0+git.1566376789.be0fe01-3.17.3
SUSE:HPE Helion OpenStack 8	ardana-horizon	до 8.0+git.1565816064.5d4f73f-3.18.3	8.0+git.1565816064.5d4f73f-3.18.3
SUSE:HPE Helion OpenStack 8	ardana-input-model	до 8.0+git.1566517401.98450e6-3.33.3	8.0+git.1566517401.98450e6-3.33.3
SUSE:HPE Helion OpenStack 8	ardana-manila	до 8.0+git.1568835837.2452e7a-1.21.3	8.0+git.1568835837.2452e7a-1.21.3
SUSE:HPE Helion OpenStack 8	ardana-neutron	до 8.0+git.1568220097.74ee4b4-3.33.3	8.0+git.1568220097.74ee4b4-3.33.3
SUSE:HPE Helion OpenStack 8	ardana-nova	до 8.0+git.1566902754.c58ff69-3.35.3	8.0+git.1566902754.c58ff69-3.35.3
SUSE:HPE Helion OpenStack 8	ardana-octavia	до 8.0+git.1568373448.bcaee7e-3.20.3	8.0+git.1568373448.bcaee7e-3.20.3
SUSE:HPE Helion OpenStack 8	ardana-tempest	до 8.0+git.1566471887.fd2fec7-3.27.3	8.0+git.1566471887.fd2fec7-3.27.3
SUSE:HPE Helion OpenStack 8	galera-3	до 25.3.25-4.6.3	25.3.25-4.6.3
SUSE:HPE Helion OpenStack 8	grafana	до 4.6.5-4.6.3	4.6.5-4.6.3
SUSE:HPE Helion OpenStack 8	mariadb	до 10.2.25-4.14.2	10.2.25-4.14.2
SUSE:HPE Helion OpenStack 8	mariadb-connector-c	до 3.1.2-3.12.3	3.1.2-3.12.3
SUSE:HPE Helion OpenStack 8	novnc	до 1.0.0-3.6.3	1.0.0-3.6.3
SUSE:HPE Helion OpenStack 8	openstack-cinder	до 11.2.3~dev16-3.21.4	11.2.3~dev16-3.21.4
SUSE:HPE Helion OpenStack 8	openstack-cinder-doc	до 11.2.3~dev16-3.21.3	11.2.3~dev16-3.21.3
SUSE:HPE Helion OpenStack 8	openstack-glance	до 15.0.3~dev3-3.12.4	15.0.3~dev3-3.12.4
SUSE:HPE Helion OpenStack 8	openstack-glance-doc	до 15.0.3~dev3-3.12.3	15.0.3~dev3-3.12.3
SUSE:HPE Helion OpenStack 8	openstack-heat	до 9.0.8~dev13-3.24.4	9.0.8~dev13-3.24.4
SUSE:HPE Helion OpenStack 8	openstack-heat-doc	до 9.0.8~dev13-3.24.3	9.0.8~dev13-3.24.3

+96

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:python-engineio	3.11.1-1 · Debian:12	Реестр пакетов (OSV)
opensuse:python-python-engineio	4.3.4-3.3 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
PyPI:python-engineio	3.9.0	Реестр пакетов (OSV)
suse:ardana-ansible	9.0+git.1566374020.301191f-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-barbican	9.0+git.1566251498.be02ca4-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-cinder	9.0+git.1565678764.c3a9b9f-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-cluster	9.0+git.1559333871.40508f7-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-cobbler	9.0+git.1566336494.93967dd-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-db	9.0+git.1564409964.b7e4fc3-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-designate	9.0+git.1565680593.df7a432-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-extensions-nsx	9.0+git.1566213657.69862ab-8.1 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-glance	9.0+git.1566375806.f0b2333-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-heat	9.0+git.1565721273.f44b8d7-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-horizon	9.0+git.1565891518.2a545a1-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-input-model	9.0+git.1562848565.91e75b2-3.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Пользователь должен открыть ссылку или посетить страницу.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-352 · Cross-Site Request Forgery (CSRF)

Вектор CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Ошибка в коде

Весь класс CWE-352

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1app.use(session({ cookie: { httpOnly: true } }));
2app.post("/account/address", updateAddress);

Исправленный код

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));
2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:47 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

github.com/miguelgrinberg/python-engineio/issues/128

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: mitre

CVE.org (CNA)4 авг. 2024 г., 23:57 UTC
NVD16 июн. 2026 г., 22:17 UTC
FIRST EPSS6 нояб. 2026 г., 00:00 UTC
OSV / GHSA7 нояб. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.