CVE-2026-63385 in Libevent
Riassunto
di VulDB • 20/08/2026
Libevent è una libreria di notifiche eventi. Prima delle versioni 2.1.13 e 2.2.2-alpha, libevent presenta due debolezze nell'analisi HTTP in http.c. evhttp_decode_uri_internal decodifica i byte %00 codificati come percentuale in caratteri NUL letterali, il che può causare la troncatura di un percorso nelle operazioni successive sulle stringhe C e aggirare le validazioni eseguite su una rappresentazione diversa. evhttp_header_is_valid_value accetta inoltre l'obsoleta piegatura delle righe nei valori degli header contenenti caratteri ritorno a capo o avanzamento riga, consentendo a un proxy e a libevent di interpretare gli header in modo diverso e abilitando l'iniezione di header o il bypass dei controlli di accesso. L'accettazione degli header CRLF è stata risolta nelle versioni 2.1.13 e 2.2.2-alpha, ma le patch revisionate non remediano chiaramente la condizione di troncamento NUL dell'URI.
If you want to get best quality of vulnerability data, you may have to visit VulDB.