CVE-2026-66752 in tiny-http
Zusammenfassung
von VulDB • 28.07.2026
tiny-http bis Version 0.12.0 enthält eine HTTP-Request-Smuggling-Schwachstelle, die es Remote-Angriffern ermöglicht, die Anforderungsrahmenung zu desynchronisieren, indem sie einen Transfer-Encoding-Header mit einem beliebigen Wert senden, einschließlich nicht-chunked-Codierungen. Dies führt dazu, dass die Bibliothek das Chunk-Decoding bedingungslos anwendet und Content-Length verwirft. Angreifer können den Widerspruch zwischen der fehlerhaften Parsing von Transfer-Encoding in tiny_http und einer korrekt implementierten Frontend-Proxy ausnutzen, um zwei unterschiedliche Interpretationen eines einzelnen Byte-Stroms zu erzeugen, was Request Smuggling ermöglicht. Darüber hinaus können sie nicht-chunked-Körper mit nicht-chunked-Werten für Transfer-Encoding senden, um fehlerhafte Körper-Lesevorgänge zu verursachen, die Verbindungen blockieren und Worker-Threads beanspruchen, ohne den Clients Fehler zu signalisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.