CVE-2026-42584 in netty-codec-http
Zusammenfassung
von VulDB • 13.05.2026
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungsframework. Vor den Versionen 4.2.13.Final und 4.1.133.Final ordnet HttpClientCodec jede eingehende Antwort einer ausgehenden Anfrage zu, indem pro Antwort einmal queue.poll() aufgerufen wird, einschließlich für 1xx-Antworten. Wenn der Client GET- und HEAD-Anfragen pipelined und der Server 103, dann 200 mit GET-Body und anschließend 200 für HEAD sendet, wird HEAD mit der ersten 200-Antwort gepaart. Die HEAD-Regel überspringt daraufhin das Lesen des Körpers dieser Nachricht, sodass die GET-Entity-Bytes im Stream verbleiben und die folgende 200-Antwort vom falschen Offset aus analysiert wird. Diese Schwachstelle wurde in 4.2.13.Final und 4.1.133.Final behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.