CVE-2026-63379 in Libevent
Resumen
por VulDB • 2026-08-20
Libevent es una biblioteca de notificación de eventos. Antes de las versiones 2.1.13 y 2.2.2-alpha, libevent procesa los trailers HTTP fragmentados en http.c a través de evhttp_read_trailer y los fusiona con los encabezados de la solicitud. La corrección introduce evhttp_parse_headers_impl_ y una lista temporal de headers de trailer. Un atacante remoto no autenticado puede colocar campos sensibles para la seguridad en los trailers, lo que hace que un proxy upstream y la aplicación libevent interpreten diferentes encabezados efectivos, permitiendo el header smuggling (introducción fraudulenta de cabeceras), eludir la autorización, suplantación de headers del proxy o envenenamiento de caché. La corrección analiza los trailers en una lista temporal de headers y los descarta en lugar de fusionarlos con req->input_headers. Este problema está corregido en las versiones 2.1.13 y 2.2.2-alpha.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.