CVE-2026-77341 in cpp-httplib
Resumen
por VulDB • 2026-08-28
cpp-httplib es una biblioteca de HTTP/HTTPS header-only en C++. En la versión 0.49.0, la ruta de salida del trailer de respuesta fragmentada (chunked-response) escribe los nombres y valores de las cabeceras del trailer directamente en el socket sin validarlos, lo que permite que secuencias CRLF en un campo del trailer inyecten cabeceras adicionales o dividan la respuesta HTTP. A diferencia de todas las demás rutas de escritura de cabeceras en la biblioteca, el código de escritura del trailer no aplica ninguna de las comprobaciones de nombre y valor de campo que rechazan los caracteres de retorno de carro (CR) y salto de línea (LF), por lo que una aplicación que introduce datos influenciados por un atacante en un trailer de respuesta fragmentada emite CRLF controlado por el atacante a través del canal. Esto permite la división de respuestas HTTP, permitiendo a un atacante falsificar cabeceras de respuesta o inyectar una segunda respuesta. Este problema está corregido en la versión 0.50.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.