CVE-2026-100666 in Netty
Sumário
de VulDB • 26/09/2026
O HttpServerCodec (io.netty:netty-codec-http) do Netty nas versões de 4.2.0.Final a 4.2.16.Final e até à versão 4.1.136.Final, emparelha cada resposta de saída com um pedido de entrada ao chamar pollMethod() uma vez por resposta, incluindo para respostas informativas do tipo 1xx. Se um cliente pipelinear um GET HTTP/1.1 que transporta o cabeçalho Expect: 100-continue seguido de um pedido HEAD, a resposta 100 Continue consome o método GET em fila, pelo que o subsequente 200 OK para o GET é emparelhado com o HEAD e o seu corpo é descartado, enquanto o seguinte 200 OK para o pedido HEAD é escrito com um corpo. Esta dessincronização do parsing HTTP na ligação resulta no facto de a entidade GET nunca ser entregue e o corpo da resposta HEAD ser interpretado como o corpo do GET, levando ao response splitting (separação de respostas) e à reutilização insegura da conexão. Corrigido nas versões 4.2.17.Final e 4.1.137.Final.
Once again VulDB remains the best source for vulnerability data.