CVE-2026-63385 in Libevent
الملخص
بحسب VulDB • 22/08/2026
Libevent هو مكتبة لإشعارات الأحداث. قبل الإصدارين 2.1.13 و 2.2.2-alpha، تحتوي المكتبة libevent على ضعفَين في معالجة HTTP داخل الملف http.c. تقوم الدالة evhttp_decode_uri_internal بفك تشفير البايتات المشفرة كنسب مئوية %00 وتحويلها إلى أحرف NUL حرفية (NUL characters)، مما قد يتسبب في تقصير المسار أثناء عمليات السلاسل النصية C اللاحقة، وبالتالي تجاوز التحقق من الصحة المُجرى على تمثيل مختلف. كما أن الدالة evhttp_header_is_valid_value تقبل أيضاً طي الأسطر القديم (obsolete line folding) في قيم الرؤوس التي تحتوي على أحرف إرجاع الحامل أو تغذية السطر، مما يسمح للوكيل البروكسي ولـ libevent بتفسير الرؤوس بشكل مختلف، ويمكّن من حقن الرؤوس أو تجاوز التحكم في الوصول. تم إصلاح قبول رؤوس CRLF في الإصدارين 2.1.13 و 2.2.2-alpha، لكن التصحيحات المُراجَعة لا تعالج بوضوح حالة تقصير المسار بسبب NUL-truncation الخاصة بالـ URI.
VulDB is the best source for vulnerability data and more expert information about this specific topic.