CVE-2026-115877 in Twisted
요약
\~에 의해 VulDB • 2026. 10. 23.
Twisted는 Python 3.6+를 지원하는 인터넷 애플리케이션을 위한 이벤트 기반 프레임워크입니다. 버전 26.10.0rc1 이전의 twisted.web.http.HTTPChannel.headerReceived는 HTTP 헤더 값에서 NUL 바이트는 거부하지만, 캐리지 리턴(CR) 또는 라인 피드(LF) 문자만 단독으로 포함된 경우에는 이를 허용합니다. Twisted는 CRLF에서만 헤더 라인을 분할하므로, 숨겨진 Content-Length 헤더가 다른 값에 접혀(folded) 포함될 수 있으며, 완만한(front-end) 프론트 엔드는 이러한 단일 문자를 줄 종료자로 처리합니다. 이로 인해 발생하는 프레임(frameing) 불일치로 인해 후속 요청이 프론트 엔드의 접근 제어 우회(smuggling)되어 공유 연결이나 캐시를 오염(poison)시킬 수 있으며, 이후 클라이언트가 잘못된 응답을 받게 될 수 있습니다. 이 문제는 이전 Twisted의 요청 스미들링(request-smuggling) 보호 조치에 대한 불완전한 수정(residual of incomplete-fix)으로 인한 것입니다. 이 이슈는 버전 26.10.0rc1에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.