CVE-2024-7592
Quadratic complexity parsing cookies with backslashes
At a glance
- Severity
- HIGH 7.5
- EPSS
- EPSS 2.30 % · percentile 83 (2026-10-27)
- State
- PUBLISHED
- Published
- Updated
- Assigner
- PSF
- NVD status
- Modified
Description
There is a LOW severity vulnerability affecting CPython, specifically the 'http.cookies' standard library module. When parsing cookies that contained backslashes for quoted characters in the cookie value, the parser would use an algorithm with quadratic complexity, resulting in excess CPU resources being used while parsing the value.
Scores
| Version | Score | Vector | Scored by |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CISA-ADP |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · nvd@nist.gov (Primary) |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Weaknesses (CWE)
European references
- ENISA EUVD · EUVD-2024-48488
- GCVE · GCVE-0-2024-7592
CERT-FR advisories
- CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0627 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1057 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1054 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1036 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1024 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0967 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0756 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0693 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0055 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
Affected configurations (NVD CPE)
cpe:2.3:a:python:python:*:*:*:*:*:*:*:*< 3.8.20cpe:2.3:a:python:python:*:*:*:*:*:*:*:*≥ 3.9.0 < 3.9.20cpe:2.3:a:python:python:*:*:*:*:*:*:*:*≥ 3.10.0 < 3.10.15cpe:2.3:a:python:python:*:*:*:*:*:*:*:*≥ 3.11.0 < 3.11.10cpe:2.3:a:python:python:*:*:*:*:*:*:*:*≥ 3.12.0 < 3.12.6cpe:2.3:a:python:python:3.13.0:alpha0:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha1:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha2:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha3:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha4:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha5:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:alpha6:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:beta1:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:beta2:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:beta3:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:beta4:*:*:*:*:*:*cpe:2.3:a:python:python:3.13.0:rc1:*:*:*:*:*:*
Affected products
| Product | Versions |
|---|---|
| Python Software Foundation · CPython | affected 0 < 3.8.20 ; affected 3.9.0 < 3.9.20 ; affected 3.10.0 < 3.10.15 ; affected 3.11.0 < 3.11.10 ; affected 3.12.0 < 3.12.6 ; affected 3.13.0a1 < 3.13.0rc2 |
References
- https://github.com/python/cpython/pull/123075
- https://github.com/python/cpython/issues/123067
- https://mail.python.org/archives/list/security-announce@python.org/thread/HXJAAAALNUNGCQUS2W7WR6GFIZIHFOOK/
- https://github.com/python/cpython/commit/391e5626e3ee5af267b97e37abc7475732e67621
- https://github.com/python/cpython/commit/dcc3eaef98cd94d6cb6cb0f44bd1c903d04f33b1
- https://github.com/python/cpython/commit/a77ab24427a18bff817025adb03ca920dc3f1a06
- https://github.com/python/cpython/commit/b2f11ca7667e4d57c71c1c88b255115f16042d9a
- https://github.com/python/cpython/commit/d4ac921a4b081f7f996a5d2b101684b67ba0ed7f
- https://github.com/python/cpython/commit/d662e2db2605515a767f88ad48096b8ac623c774
- https://github.com/python/cpython/commit/44e458357fca05ca0ae2658d62c8c595b048b5ef
- https://security.netapp.com/advisory/ntap-20241018-0006/
- https://lists.debian.org/debian-lts-announce/2024/12/msg00000.html
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |