An open redirect, that allows an attacker to write an arbitrary file with supplied filename and content to the current directory, by redirecting a request from HTTP to a crafted URL pointing to a server in his or hers control, was found and reported in CVE-2019-10751. This was patched upstream and so when `--download` without `--output` results in a redirect, now only the initial URL is considered, not the final one.

For Debian 8 'Jessie', this problem has been fixed in version 0.8.0-1+deb8u1.

We recommend that you upgrade your httpie packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for httpie fixes the following issues :

httpie was updated to version 1.0.3 :

  - Fix CVE-2019-10751 (HTTPie is volnerable to Open     Redirect that allows an attacker to write an arbitrary     file with supplied filename and content to the current     directory, by redirecting a request from HTTP to a     crafted URL pointing to a server in his or hers control.
    (bsc#1148466)

httpie用のこの更新プログラムでは、以下の問題が修正されています：

httpieはバージョン1.0.3に更新されました：

  - HTTPからのリクエストを自分が制御するサーバーを指し示すよう細工されたURLにリダイレクトすることにより、指定されたファイル名とコンテンツの任意のファイルを現在のディレクトリに書き込むことができるオープンリダイレクトに対して、CVE-2019-10751 (HTTPieが脆弱である問題を修正しました。
    (bsc#1148466)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 1.0.3 版之前的所有 HTTPie 套件版本都容易受到開放重新導向影響其允許攻擊者將要求從 HTTP 重新導向至指向伺服器的特製 URL進而寫入含有提供的檔案名稱和內容的任意檔案至目前目錄。在他或她的控制之下。
    (CVE-2019-10751)

請注意，Nessus 依賴供應商報告的套件存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - All versions of the HTTPie package prior to version 1.0.3 are vulnerable to Open Redirect that allows an     attacker to write an arbitrary file with supplied filename and content to the current directory, by     redirecting a request from HTTP to a crafted URL pointing to a server in his or hers control.
    (CVE-2019-10751)

Note that Nessus relies on the presence of the package as reported by the vendor.

攻撃者がHTTPからのリクエストを、自分が制御するサーバーを指し示すよう細工されたURLにリダイレクトすることにより、指定されたファイル名とコンテンツの任意のファイルを書き込むことができるオープンリダイレクトがCVE-2019-10751の中に発見されたという報告がありました。これは上流でパッチされているため、「--output」なしの--downloadがリダイレクトとなる場合、最初のURLのみが考慮され、最後のものは考慮されません。

Debian 8「Jessie」では、この問題はバージョン0.8.0-1+deb8u1で修正されました。

httpieパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 1.0.3 より前の HTTPie パッケージのすべてのバージョンは、Open Redirect に脆弱です。これにより攻撃者は、HTTP からのリクエストを、サーバーを指し示す細工された URL へリダイレクトすることで、指定されたファイル名とコンテンツを伴う任意のファイルを現在のディレクトリに書き込むことができます引き起こす可能性があります。
    (CVE-2019-10751)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

CVE-2019-10751 中发现并报告了一个开放重定向漏洞，通过将来自 HTTP 的请求重新定向到指向攻击者控制服务器的特制 URL，该攻击者就能够向当前目录写入带有所提供的文件名和内容的任意文件。此漏洞已在上游修复，因此当不带“--output”的“--download”造成了重定向时，现在只需考虑初始 URL，而不是最终 URL。对于 Debian 8“Jessie”，此问题已在 0.8.0-1~deb8u1 版本中修复。建议您升级 httpie 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.0.3 版之前的所有 HTTPie 程序包版本容易受到开放重定向影响其允许攻击者通过将 HTTP 中的请求重定向到指向服务器的特制 URL 向当前目录写入具有所提供的文件名和内容的任意文件在其控制范围内。
    (CVE-2019-10751)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 CVE-2019-10751 中發現並報告一個開放重新導向，可讓攻擊者透過將要求從 HTTP 重新導向到指向其控制的伺服器的特製 URL，進而將帶有提供的檔案名稱和內容的任意檔案寫入目前目錄。這個問題會在上游修補，因此在重新導向中產生沒有 `--output` 的 `--download` 時，現在僅會考慮初始 URL，而不考慮最終 URL。針對 Debian 8「Jessie」，此問題已在 0.8.0-1+deb8u1 版本中修正。建議您升級 httpie 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	Name	Product	Family	Published	Updated	Severity
129411	Debian DLA-1937-1 : httpie security update	Nessus	Debian Local Security Checks	9/30/2019	4/22/2024	high
128459	openSUSE Security Update : httpie (openSUSE-2019-2050)	Nessus	SuSE Local Security Checks	9/3/2019	4/30/2024	high
128459	openSUSEセキュリティ更新プログラム：httpie（openSUSE-2019-2050）	Nessus	SuSE Local Security Checks	9/3/2019	4/30/2024	high
256118	Linux Distros 未修補的弱點：CVE-2019-10751	Nessus	Misc.	8/27/2025	8/27/2025	high
256118	Linux Distros Unpatched Vulnerability : CVE-2019-10751	Nessus	Misc.	8/27/2025	8/27/2025	high
129411	Debian DLA-1937-1 : httpieセキュリティ更新プログラム	Nessus	Debian Local Security Checks	9/30/2019	4/22/2024	high
256118	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10751	Nessus	Misc.	8/27/2025	8/27/2025	high
129411	Debian DLA-1937-1：httpie 安全更新	Nessus	Debian Local Security Checks	9/30/2019	4/22/2024	high
256118	Linux Distros 未修补的漏洞：CVE-2019-10751	Nessus	Misc.	8/27/2025	8/27/2025	high
129411	Debian DLA-1937-1：httpie 安全性更新	Nessus	Debian Local Security Checks	9/30/2019	4/22/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high