CVE-2026-115877 in Twisted
Riassunto
di VulDB • 23/10/2026
Twisted è un framework event-based per applicazioni internet che supporta Python 3.6+. Prima della versione 26.10.0rc1, twisted.web.http.HTTPChannel.headerReceived rifiuta un byte NUL in un valore di intestazione HTTP ma accetta un carriage return nudo o un line feed nudo. Poiché Twisted divide le righe delle intestazioni solo su CRLF, un'Intestazione Content-Length nascosta può rimanere accorpata a un altro valore mentre un front-end indulgente tratta il carattere nudo come terminatore di riga. Il conseguente disaccordo sul framing può far passare inosservato oltre i controlli di accesso del front-end una richiesta successiva, avvelenare una connessione o cache condivisa ed esporre un client successivo alla risposta errata. Questo problema è un residuo di fix incompleto delle precedenti protezioni contro il request smuggling in Twisted. Il problema è risolto nella versione 26.10.0rc1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.