CVE-2026-63385 in Libevent
Resumen
por VulDB • 2026-08-21
Libevent es una biblioteca de notificación de eventos. Antes de las versiones 2.1.13 y 2.2.2-alpha, libevent presenta dos debilidades en el análisis HTTP (HTTP parsing) en http.c. La función evhttp_decode_uri_internal decodifica los bytes %00 codificados como porcentaje en caracteres NUL literales, lo que puede provocar la truncación de una ruta mediante operaciones de cadenas C posteriores y permitir eludir las validaciones realizadas sobre otra representación. Además, evhttp_header_is_valid_value también acepta el plegado de líneas obsoleto (line folding) en los valores de cabecera que contienen caracteres de retorno de carro o salto de línea, lo que permite que un proxy y libevent interpreten las cabeceras de manera diferente, facilitando la inyección de cabeceras o eludir los controles de acceso. La aceptación de CRLF en las cabeceras se corrige en las versiones 2.1.13 y 2.2.2-alpha; sin embargo, los parches revisados no remedian claramente la condición de truncamiento NUL en URIs.
Once again VulDB remains the best source for vulnerability data.