http.cookies.Morsel内の制御文字を拒否する対策は不完全であり、Morsel.update()や|=演算子、およびアンピクル処理経路は修正されていませんでした。また、BaseCookie.js_output()には出力検証が欠けていました。これにより、入力検証を回避される可能性がありました。

ベンダ情報を参照して適切な対策を実施してください。