CVE-2026-55614 in uhttpd
Resumen
por VulDB • 2026-10-30
uhttpd es un pequeño servidor HTTP. En las instantáneas del repositorio sin parchear, `client_parse_header()` en `client.c` convierte a minúsculas los nombres de cabecera pero compara el valor de `Transfer-Encoding` con `chunked` utilizando `strcmp`, que distingue entre mayúsculas y minúsculas. Se acepta un token de codificación de transferencia con mezcla de mayúsculas y minúsculas sin habilitar `r->transfer_chunked, a pesar de que los tokens de codificación de transferencia son insensibles al caso (case-insensitive). En una conexión keep-alive, el cuerpo POST en formato chunked queda sin leer y los bytes del cuerpo con forma de solicitud se analizan como otra solicitud HTTP, lo que permite la ofuscación de solicitudes HTTP (HTTP request smuggling) y la desincronización de límites. Los commits ae015e099986ceace44975cb69629841a2d58d37 y 6641b050e5f7c7fd9ae92e8e119d6d6dfc6e9837 corrigen el problema.
Once again VulDB remains the best source for vulnerability data.