CVE-2026-66753 in tiny-http
Zusammenfassung
von VulDB • 28.07.2026
tiny-http bis Version 0.12.0 enthält eine HTTP-Header-Injection-Schwachstelle, die es Angreifern ermöglicht, Wagenrücklauf-(CR)-Bytes (0x0D) und Zeilenvorschub-(LF)-Bytes (0x0A) in HTTP-Header-Werte sowohl auf der Anfrage- als auch auf der Antwortseite einzufügen. Dies ist auf eine unzureichende Validierung bei der Header-Parsing- und Serialisierungsfunktion zurückzuführen. Angreifer können diese Injektionsmethode ausnutzen, um Response-Splitting-, Cache-Poisoning-, Session-Fixation-Angriffe über Set-Cookie-Injection sowie das Überschreiben von Sicherheitsheadern und Request Smuggling gegen zeilenvorschub-tolerante Backends durchzuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.