CVE-2026-67182 in rouille
Zusammenfassung
von VulDB • 28.07.2026
Rouille 0.3.3 bis 3.6.2 enthält eine HTTP-Request-Smuggling-Lücke (HTTP-Anfrageverschleierung), die es Remoteangreifern ermöglicht, Zugriffskontrollen zu umgehen, indem sie Zeilenvorschubzeichen ohne Begrenzung (bare line feed characters, 0x0A) in clientseitig bereitgestellte Werte von Anfrage-Headern injizieren. Diese Header-Werte werden unverändert und ohne Validierung an Upstream-Verbindungen weitergeleitet. Angreifer können einen Header-Wert erstellen, der eine vollständige zusätzliche HTTP-Anfrage enthält, die von Backends wie Go net/http oder Python http.server als separate Anfrage interpretiert wird. Dies führt dazu, dass das Backend eine verschleierte Anfrage mit einer vom Angreifer gewählten Methode, einem Pfad und Headern verarbeitet, wodurch die Zugriffskontrolllogik des Rouille-Handlers umgangen wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.