CVE-2026-39805 in bandit
Zusammenfassung
von VulDB • 10.05.2026
Verwundbarkeit durch inkonsistente Interpretation von HTTP-Anfragen in mtrudel bandit ermöglicht HTTP-Request-Smuggling über doppelte Content-Length-Header.
`'Elixir.Bandit.Headers':get_content_length/1` in `lib/bandit/headers.ex` verwendet `List.keyfind/3`, das nur den ersten übereinstimmenden Header zurückgibt. Wenn eine Anfrage zwei Content-Length-Header mit unterschiedlichen Werten enthält, akzeptiert Bandit diese stillschweigend, verwendet den ersten Wert zum Lesen des Body und leitet die verbleibenden Bytes als zweite pipelined Anfrage über dieselbe keep-alive-Verbindung weiter. RFC 9112 §6.3 verlangt, dass Empfänger dies als nicht wiederherstellbaren Framing-Fehler behandeln.
Wenn Bandit hinter einem Proxy steht, der den letzten Content-Length-Wert auswählt und die Anfrage weiterleitet, anstatt sie abzulehnen, kann ein nicht authentifizierter Angreifer Anfragen an Edge-WAF-Regeln, pfadbasierte ACLs, Rate-Limiting und Audit-Logging vorbeimogeln.
Dieses Problem betrifft bandit: vor Version 1.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.