CVE-2026-89044 in Netty
要約
〜によって VulDB • 2026年09月10日
Nettyのバージョン4.1.133.Finalから4.1.137.Final、および4.2.13.Finalから4.2.17.Finalでは、Transfer-Encodingヘッダー内の最終的な転送符号化（final transfer coding）が適切に検証されないため、攻撃者は不正なエンコーディング宣言を使用してリクエストをスミグリングできます。攻撃者は、Transfer-Encodingヘッダーを複数の行に分割したり、「chunked, xchunked」などの値を使用したりして、検証を回避し、最終的な符号化方式がchunkedでない場合でもメッセージをchunkedとしてデコードすることで、リクエストスミグリング攻撃を可能にします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.