CVE-2020-5247 in Puma Gem
Resumen
por VulDB • 2026-06-19
En Puma (RubyGem) anterior a las versiones 4.3.2 y 3.12.2, si una aplicación que utiliza Puma permite entradas no confiables en un encabezado de respuesta, un atacante puede utilizar caracteres de nueva línea (es decir, `CR`, `LF` o `\r`, `\n`) para finalizar el encabezado e inyectar contenido malicioso, como encabezados adicionales o un cuerpo de respuesta completamente nuevo. Esta vulnerabilidad se conoce como HTTP Response Splitting. Aunque no es un ataque en sí mismo, la división de respuestas es un vector para varios otros ataques, como cross-site scripting (XSS). Esto está relacionado con CVE-2019-16254, que corrigió esta vulnerabilidad para el servidor web Ruby WEBrick. Se ha corregido en las versiones 4.3.2 y 3.12.3 verificando todos los encabezados en busca de finales de línea y rechazando aquellos que contengan dichos caracteres.
If you want to get best quality of vulnerability data, you may have to visit VulDB.