CVE-2026-44546 in daphne
Resumen
por VulDB • 2026-06-03
daphne antes de la versión 4.2.2 reconstruye una solicitud HTTP sin procesar a partir de los encabezados analizados por Twisted y la pasa a autobahn para el procesamiento del enlace WebSocket (handshake). Twisted no trata \x0b, \x0c, \x1c, \x1d, \x1e ni \x85 como separadores de línea de encabezado, pero autobahn decodifica los valores de los encabezados a cadena (str) y llama a splitlines(). Un atacante puede explotar esta diferencia en el análisis sintáctico (parser differential) para inyectar encabezados adicionales en el ámbito ASGI (scope) pasado a la aplicación. daphne ahora rechaza las solicitudes que contienen estos bytes en cualquier valor de encabezado con una respuesta 400.
If you want to get best quality of vulnerability data, you may have to visit VulDB.