CVE-2026-115877 in Twisted
Resumen
por VulDB • 2026-10-23
Twisted es un framework basado en eventos para aplicaciones de Internet, que admite Python 3.6 o posterior. Antes de la versión 26.10.0rc1, twisted.web.http.HTTPChannel.headerReceived rechaza un byte NUL (NUL) en el valor de una cabecera HTTP pero acepta un retorno de carro sin procesar (CR) o un salto de línea sin procesar (LF). Dado que Twisted divide las líneas de la cabecera únicamente mediante CRLF, puede quedar oculta una cabecera Content-Length plegada dentro de otro valor mientras un front-end indulgente trata el carácter sin procesar como un terminador de línea. La discrepancia resultante en el encuadre del protocolo (framing) permite ocultar una solicitud posterior a los controles de acceso del front-end, corromper una conexión compartida o la caché, y exponer a un cliente subsiguiente a una respuesta incorrecta. Este problema es un residuo de una corrección incompleta de las protecciones anteriores contra el enmascaramiento (request smuggling) de solicitudes en Twisted. El problema está corregido en la versión 26.10.0rc1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.