CVE-2026-66746 in rouille
Zusammenfassung
von VulDB • 28.07.2026
Rouille 0.4.0 bis 3.6.2 enthält eine HTTP-Response-Splitting-Schwachstelle (HTTP Response Splitting), die es Remoteangreifern ermöglicht, beliebige Antwortheader einzufügen, indem sie Wagenrücklauf-(CR)-Bytes (0x0D) oder Zeilenvorschub-(LF)-Bytes (0x0A) in vom Angreifer kontrollierte Eingaben einbetten. Angreifer können prozentdekodierte Abfrageparameter ausnutzen, die in Antwortheader zurückgespiegelt werden, oder nackte LF-Zeichen direkt in Cookie-Header-Werte injizieren, die interpoliert werden und somit Set-Cookie-Antwortheader erzeugen. Dies ermöglicht Cache-Poisoning-, Session-Fixation-Angriffe sowie Angriffe zur Überschreibung von Sicherheitsheadern, wie das Umgehen von CSP- oder CORS-Richtlinien.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.