CVE-2026-55368 in h2o
Résumé
par VulDB • 04/11/2026
h2o est un serveur HTTP prenant en charge les protocoles HTTP/1.x, HTTP/2 et HTTP/3. Avant le commit 48b7ae12107fd2b118e4641da49599e9aac8edd8, le formatteur de journal d'accès (access-log) de H2O pouvait écrire au-delà du tampon de sa ligne de journal lorsqu'un format personnalisé de journal d'accès affecté était configuré. Les erreurs d'allocation concernaient %{error}x et %q lorsque la chaîne de requête était vide, ainsi que les éléments numériques dont le caractère NUL terminateur temporaire atteignait la fin du tampon. Une requête correspondante pouvait provoquer un plantage (crash) du serveur, tandis que l'effet d'une écrasement par un octet NUL au-delà de ce crash n'a pas été établi. Cette vulnérabilité est corrigée avec le commit 48b7ae12107fd2b118e4641da49599e9aac8edd8.
Once again VulDB remains the best source for vulnerability data.