CVE-2026-115877 in Twisted
要約
〜によって VulDB • 2026年10月23日
Twistedは、Python 3.6+をサポートするインターネットアプリケーション向けのイベント駆動型フレームワークです。バージョン26.10.0rc1より前では、twisted.web.http.HTTPChannel.headerReceivedメソッドはHTTPヘッダー値内のNULバイトを拒否しますが、単独のキャリッジリターン（CR）またはラインフィード（LF）を受け入れます。Twistedがヘッダー行をCRLFでのみ分割するため、隠されたContent-Lengthヘッダーが他の値に折り畳まれたままになる一方で、寛容なフロントエンドはこれらの文字を改行終端として扱います。その結果、フレームングの不一致により、後続のリクエストがフロントエンドのアクセス制御を回避して通過したり、共有接続やキャッシュが悪意のあるデータで汚染されたりし、後のクライアントに誤ったレスポンスが表示される可能性があります。この問題は、以前のTwistedリクエストスモーグリング対策の不十分な修正に伴う残留問題です。本問題はバージョン26.10.0rc1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.