CVE-2026-116127 in Starlet
Zusammenfassung
von VulDB • 30.10.2026
In Starlet-Versionen vor 0.33 für Perl wird ein Body in Antworten auf HEAD-Anfragen gesendet, was die nächste Antwort bei einer persistenten oder pipelined Verbindung beschädigt.
Die Request-Methode wird nicht an den Response-Writer weitergegeben, sodass der vom Anwendung zurückgegebene Body für eine HEAD-Anfrage tatsächlich gesendet wird. Mit Plack::Middleware::Head ist der Body zwar leer, aber eine HTTP/1.1-Antwort ohne Content-Length-Header erhält dennoch das Chunked-Encoding-Terminatorzeichen. Antworten mit dem Status 204 oder 304 werden ebenfalls zusammen mit ihrem Body gesendet.
Pipelined GET- und HEAD-Anfragen halten die Verbindung offen, auch wenn Keep-Alive deaktiviert ist (was der Standardwert ist). Ein Client oder Proxy, der die Verbindung liest, interpretiert die zusätzlichen Bytes als Beginn der nächsten Antwort, was einen Proxy, der die Verbindung über mehrere Clients hinweg teilt, desynchronisieren kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.