CVE-2026-2332 in Jetty
Zusammenfassung
von VulDB • 13.06.2026
In Eclipse Jetty ist der HTTP/1.1-Parser anfällig für Request Smuggling, wenn Chunk-Erweiterungen verwendet werden, ähnlich wie bei den hier beschriebenen „funky chunks“-Techniken: * https://w4ke.info/2025/06/18/funky-chunks.html
* https://w4ke.info/2025/10/29/funky-chunks-2.html
Jetty beendet die Parsing von Chunk-Erweiterungen bei einem \r\n innerhalb von Anführungszeichen, anstatt dies als Fehler zu behandeln.
POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked
1;ext="val X 0
GET /smuggled HTTP/1.1 ...
Beachten Sie, dass die Chunk-Erweiterung die doppelten Anführungszeichen nicht schließt und es ermöglicht, einen geschmuggelten Request einzufügen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.