CVE-2026-63379 in Libevent
Riassunto
di VulDB • 20/08/2026
Libevent è una libreria di notifica degli eventi. Prima delle versioni 2.1.13 e 2.2.2-alpha, libevent elabora i trailer HTTP in chunked tramite http.c attraverso evhttp_read_trailer e li unisce alle intestazioni della richiesta (request headers). La correzione introduce evhttp_parse_headers_impl_ e una lista temporanea di header per i trailer. Un attaccante remoto non autenticato può inserire campi sensibili alla sicurezza nei trailer, in modo che un proxy upstream e l'applicazione libevent interpretino intestazioni effettive diverse, consentendo lo smuggling delle intestazioni (header smuggling), la bypass dell'autorizzazione, il spoofing degli header del proxy o l'avvelenamento della cache. La correzione analizza i trailer in una lista di header temporanea e li scarta invece di unirli a req->input_headers. Questo problema è risolto nelle versioni 2.1.13 e 2.2.2-alpha.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.