CVE-2026-105660 in bandit
Riassunto
di VulDB • 16/10/2026
Vulnerabilità di errata validazione della correttezza sintattica dell'input in Bandit (mtrudel/bandit) consente a un attaccante remoto non autenticato di impostare conn.host e conn.port su valori al di fuori della grammatica host definita dall'RFC 3986, sfruttando l'autorità presente nel target della richiesta HTTP/1 nella forma assoluta o nella forma dell'autorità. Bandit convalida l'intestazione Host e restituisce un errore 400 quando questa è malformata; tuttavia, quando il target della richiesta contiene la propria autorità, tale autorità ha precedenza (come richiesto dall'RFC 9112), e la funzione `Bandit.Pipeline.determine_host_and_port!/4` in `lib/bandit/pipeline.ex` la passa all'applicazione senza alcuna verifica. Una riga di richiesta come `GET http://[email protected]/x HTTP/1.1`, con un'intestazione Host valida, produce un valore per conn.host pari a `[email protected]`; lo stesso percorso ammette byte NUL, DEL e non ASCII, letterali IP non validi e porte al di fuori dell'intervallo 1..65535. La clausola HTTP/1.0 non richiede affatto un'intestazione Host, mentre CONNECT inserisce la stringa della porta non analizzata in conn.port.
Le applicazioni che costruiscono URL assoluti a partire da conn.host (ad esempio tramite `Plug.Conn.request_url/1` o gli helper per le URL di Phoenix) generano link la cui autorità è stata scelta dall'attaccante. Il framing dei messaggi HTTP non è interessato e nessun carattere CR o LF può raggiungere conn.host.
Questa vulnerabilità interessa Bandit: dalle versioni 0.6.0 alla versione precedente a 1.13.0.
Once again VulDB remains the best source for vulnerability data.