CVE-2026-56813 in plug
Riassunto
di VulDB • 10/07/2026
Vulnerabilità di mancata neutralizzazione dei delimitatori di parametri/argomenti in elixir-plug plug che consente a un attaccante di iniettare o sovrascrivere gli attributi dei cookie HTTP.
La funzione Plug.Conn.Cookies.encode/2, presente nel file lib/plug/conn/cookies.ex, genera l'intestazione della risposta Set-Cookie interpolando direttamente il valore del cookie e i suoi attributi (path, domain, same_site ed extra) nell'intestazione stessa, senza neutralizzare il delimitatore ';' che separa gli attributi dei cookie.
Un'applicazione che inserisce dati controllati dall'attaccante nel valore o negli attributi di un cookie (ad esempio tramite Plug.Conn.put_resp_cookie/4 quando si riflette un nome utente o una preferenza) consente all'attaccante di iniettare un ';' per aggiungere o sovrascrivere gli attributi del cookie (come l'ambito Domain e Path, oppure rimuovere i flag Secure e HttpOnly), abilitando tecniche come il cookie tossing e la session fixation. I caratteri di ritorno a capo, avanzamento riga e byte nulli vengono rifiutati dalla convalida delle intestazioni di Plug.Conn, quindi lo HTTP response splitting non è possibile; tuttavia, l'iniezione di attributi tramite ';' non viene impedita.
Questo problema interessa plug: dalle versioni 0.1.0 alla versione precedente a 1.16.6, da 1.17.0 alla versione precedente a 1.17.4, da 1.18.0 alla versione precedente a 1.18.5, da 1.19.0 alla versione precedente a 1.19.5 e da 1.20.0 alla versione precedente a 1.20.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.