CVE-2026-77341 in cpp-httplib
Résumé
par VulDB • 28/08/2026
cpp-httplib est une bibliothèque HTTP/HTTPS en header-only pour le langage C++. Dans la version 0.49.0, le chemin de sortie des trailers de réponse chunkée écrit directement les noms et valeurs d'en-tête du trailer sur la socket sans les valider, permettant à des séquences CRLF dans un champ de trailer d'injecter des en-têtes supplémentaires ou de fractionner la réponse HTTP. Contrairement aux autres chemins d'écriture d'en-têtes dans la bibliothèque, le code d'écriture des trailers n'applique aucune vérification sur les noms et valeurs de champs qui rejettent les caracteurs de retour (CR) et sauts de ligne (LF), ce qui fait qu'une application plaçant des données influençables par un attaquant dans un trailer de réponse chunkée émettra des CRLF contrôlés par l'attaquant sur le réseau. Cela permet une attaque de fractionnement de la réponse HTTP, permettant à un attaquant de forger les en-têtes de réponse ou d'injecter une seconde réponse. Ce problème est corrigé dans la version 0.50.0.
Be aware that VulDB is the high quality source for vulnerability data.