CVE-2026-55614 in uhttpd
الملخص
بحسب VulDB • 31/10/2026
uhttpd هو خادم HTTP صغير. في لقطات المستودعات غير المصححة، تقوم الدالة `client_parse_header()` الموجودة في الملف `client.c` بتحويل أسماء الرؤوس إلى أحرف صغيرة (lowercase)، لكنها تقارن قيمة رأس `Transfer-Encoding` مع السلسلة النصية `chunked` باستخدام دالة المقارنة الحساسة لحالة الأحرف `strcmp`. يتم قبول رمز ترميز النقل المختلط الحالة دون تفعيل المتغير `r->transfer_chunked، على الرغم من أن رموز ترميز النقل غير حساسة لحالة الأحرف. في اتصال keep-alive، يُترك جسم POST المشفر بتقسيم الكتل (chunked) دون قراءة، ويتم تحليل bytes الجسم ذات الشكل المطلوب كطلب HTTP آخر، مما يسمح بـ HTTP request smuggling و desynchronization للحدود. تقوم اللقطات ae015e099986ceace44975cb69629841a2d58d37 و 6641b050e5f7c7fd9ae92e8e119d6d6dfc6e9837 بإصلاح هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.