Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

BUG: UrlConverter preserves forward slashes by default, preventing path payload evasion

Abierto
  • ¿Algo no está bien?
#3,401 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 2 días

@Kaap10 ya está trabajando en esto.

Desde el 20/10/2026.

  • #3402 de @Kaap10 — abierto

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
25/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Estancado
Stack tecnológico
python
Área
security

Línea de trabajo

Start by locating UrlConverter and its tests, then check how it calls urllib.parse.quote and how converter options are exposed. The issue includes a reproducer and expected output: forward slashes should encode as %2F by default, while callers can configure safe. An open pull request is already linked, so check its status before starting.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Describe the bug

UrlConverter encodes text prompts to URL-encoded representations for red teaming and evasion testing. Currently, it delegates directly to urllib.parse.quote(prompt) without constructor configuration.

Because Python's standard library urllib.parse.quote(string, safe='/') defaults to safe='/':

  1. Path traversal payloads (../../etc/passwd) encode to ../../etc/passwd with all path slashes preserved literally.
  2. SSRF and open redirect payloads (https://attacker.com/steal) encode to https%3A//attacker.com/steal, preserving all slashes.

In adversarial evaluations and WAF evasion testing, red-teamers specifically encode forward slashes as %2F to bypass path normalization and WAF rules. Because UrlConverter exposes no parameters and hardcodes the stdlib default, callers cannot produce %2F without an explicit safe configuration parameter.

Steps/Code to Reproduce
import asyncio
from pyrit.converter import UrlConverter

async def main():
    converter = UrlConverter()
    result = await converter.convert_async(prompt="../../etc/passwd")
    print("Encoded payload:", result.output_text)
    print("Contains literal slash:", "/" in result.output_text)

asyncio.run(main())
Expected Results

Path traversal payloads should have forward slashes encoded as %2F by default (..%2F..%2Fetc%2Fpasswd), and callers should be able to configure safe characters if they wish to preserve specific characters (e.g. UrlConverter(safe="/")).

Actual Results
Encoded payload: ../../etc/passwd
Contains literal slash: True
Lenguaje dominante
Python
Estrellas
4.6k
Forks
962
Merge medio
2 d 15 h
PR fusionados (30 d)
398

Preparar el entorno

Abrir en Codespaces

Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.

  • Sin Dockerfile ni archivo de Docker Compose
  • Tiene una plantilla de pull request
  • Sin guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de microsoft/PyRIT

Todos los issues de microsoft/PyRIT

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.