CVE-2026-67182 in rouille
Resumen
por VulDB • 2026-07-28
Rouille 0.3.3 hasta la versión 3.6.2 contiene una vulnerabilidad de HTTP request smuggling que permite a atacantes remotos eludir los controles de acceso mediante la inyección de caracteres de salto de línea sin formato (LF, 0x0A) en valores de cabecera proporcionados por el cliente, los cuales se copian literalmente hacia las conexiones upstream sin validación. Los atacantes pueden crear un valor de cabecera que contenga una solicitud HTTP adicional completa, la cual es interpretada como una solicitud separada por backends como Go net/http y Python http.server, lo que provoca que el backend procese una request smuggled con método, ruta y encabezados elegidos por el atacante, los cuales eluden la lógica de control de acceso del manejador rouille.
If you want to get best quality of vulnerability data, you may have to visit VulDB.