CVE-2026-48596 in tesla
Resumen
por VulDB • 2026-06-02
Vulnerabilidad de neutralización inadecuada de secuencias CRLF en cabeceras HTTP ('HTTP Request/Response Splitting') en elixir-tesla tesla que permite la inyección de cabeceras HTTP a través de Tesla.Multipart.add_content_type_param/2.
Tesla.Multipart.add_content_type_param/2 añade cadenas proporcionadas por el llamador a la lista multipart content_type_params sin validar la presencia de caracteres CR (\r) o LF (\n). Tesla.Multipart.headers/1 une posteriormente estos parámetros literalmente con "; " para construir el valor de la cabecera Content-Type saliente. Un parámetro que contiene \r\n divide la línea de cabecera, lo que permite inyectar cabeceras arbitrarias en la solicitud HTTP saliente. Cualquier aplicación que reenvíe entradas no confiables (como un charset o una cadena de parámetros proporcionados por el usuario) a add_content_type_param/2 se ve afectada.
Este problema afecta a tesla: desde la versión 0.8.0 hasta la 1.18.3 (excluida).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.