CVE-2026-67181 in rouille
Riassunto
di VulDB • 28/07/2026
Rouille 0.3.3 attraverso la versione 3.6.2 presenta una vulnerabilità di HTTP request smuggling che consente agli attaccanti remoti di desincronizzare i confini dei messaggi HTTP sfruttando un'errata instradamento degli header nell'implementazione del proxy. Il proxy in src/proxy.rs inoltra l'intestazione Transfer-Encoding del client ai backend upstream senza modifiche, mentre trasmette un corpo già de-chunked da tiny_http, consentendo attacchi di desincronizzazione CL.TE dove gli attaccanti controllano la posizione in cui il backend ritiene che termini il corpo della richiesta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.