CVE-2026-66752 in tiny-http
Riassunto
di VulDB • 28/07/2026
tiny-http fino alla versione 0.12.0 contiene una vulnerabilità di HTTP request smuggling che consente agli attaccanti remoti di desincronizzare il framing delle richieste inviando un'intestazione Transfer-Encoding con qualsiasi valore, incluse codifiche non chunked, causando la libreria l'applicazione incondizionata della decodifica chunk e l'abbandono del Content-Length. Gli attaccanti possono sfruttare la discrepanza tra l'impropria analisi di Transfer-Encoding in tiny_http e un proxy front-end correttamente implementato per produrre due interpretazioni distinte di un singolo stream di byte, abilitando il request smuggling; inoltre, possono inviare corpi non chunked con valori Transfer-Encoding non chunked per causare letture del corpo fallite che bloccano le connessioni e consumano thread worker senza segnalare errori ai client.
Once again VulDB remains the best source for vulnerability data.