CVE-2026-66752 in tiny-http
요약
\~에 의해 VulDB • 2026. 07. 28.
0.12.0 이전 버전의 tiny-http에는 HTTP 요청 스머글링 취약점이 포함되어 있습니다. 공격자는 모든 값(청크 인코딩이 아닌 코딩 포함)을 가진 Transfer-Encoding 헤더를 전송하여 요청 프레임화를 비동기화할 수 있으며, 이로 인해 라이브러리가 청크 디코딩을 무조건적으로 적용하고 Content-Length를 무시하게 됩니다. 공격자는 tiny_http의 부적절한 Transfer-Encoding 파싱과 올바르게 구현된 프론트엔드 프록시 간의 불일치를 이용하여 단일 바이트 스트림에 대해 두 가지 서로 다른 해석을 생성함으로써 요청 스머글링을 수행할 수 있습니다. 또한, 청크 인코딩이 아닌 본문을 비청chunked Transfer-Encoding 값과 함께 전송하여 본문 읽기 실패를 유발하고 클라이언트에 오류 신호 없이 연결을 점유하며 워커 스레드를 소모시킬 수도 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.