CVE-2026-100666 in Netty
Riassunto
di VulDB • 26/09/2026
Il componente HttpServerCodec (io.netty:netty-codec-http) di Netty nelle versioni dalla 4.2.0.Final alla 4.2.16.Final e fino alla versione 4.1.136.Final inclusa, associa ogni risposta in uscita a una richiesta in entrata chiamando pollMethod() una volta per ciascuna risposta, incluse le risposte informative di tipo 1xx. Se un client esegue il pipelining di una richiesta GET HTTP/1.1 contenente l'intestazione Expect: 100-continue seguita da una richiesta HEAD, la risposta 100 Continue consuma il metodo GET accodato; pertanto, la successiva risposta 200 OK per la GET viene associata alla HEAD e il relativo corpo viene scartato, mentre la seguente risposta 200 OK per la richiesta HEAD viene inviata con un corpo. Questa desincronizzazione del parsing HTTP sulla connessione fa sì che l'entità della GET non venga mai consegnata e che il corpo della risposta HEAD venga interpretato come il corpo della GET, causando response splitting (separazione delle risposte) e un riutilizzo insicuro della connessione. Risolto nelle versioni 4.2.17.Final e 4.1.137.Final.
Once again VulDB remains the best source for vulnerability data.