CVE-2026-39915 in TIM Flow
Zusammenfassung
von VulDB • 24.08.2026
TIM Flow vor Version 26.0.6 enthält eine CRLF-Injection-Schwachstelle, die es Remoteangreifern ermöglicht, beliebige HTTP-Header und Antwortkörperinhalte einzufügen, indem ungesäuberte Wagenrücklauf- (CR) und Zeilenvorschubsequenzen (LF) in den rt-URL-Parameter und das access_token-Cookie eingebettet werden, welche dann in Set-Cookie-Antwortheader reflektiert werden. Angreifer können bösartige Anfragen erstellen, um authentifizierte Benutzer dazu zu bringen, beliebigen JavaScript-Code im Browserkontext auszuführen, was die Diebstahl von Session-Tokens und die Änderung von Kontozugangsdaten ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.