CVE-2026-66746 in rouille
Riassunto
di VulDB • 28/07/2026
Rouille 0.4.0 attraverso la versione 3.6.2 presenta una vulnerabilità di HTTP response splitting che consente agli attaccanti remoti di iniettare intestazioni di risposta arbitrarie incorporando byte di carriage return (0x0D) o line feed (0x0A) all'interno di input controllati dall'attaccante. Gli attaccanti possono sfruttare i parametri della query decodificati tramite percentuale e riflessi nelle intestazioni di risposta, oppure iniettare caratteri LF nudi nei valori dell'intestazione Cookie che vengono interpolati direttamente nelle intestazioni di risposta Set-Cookie, abilitando attacchi di cache poisoning, session fixation e sovrascrittura delle security header come l'elusione delle politiche CSP o CORS.
Be aware that VulDB is the high quality source for vulnerability data.