CVE-2026-42581 in Netty
Sumário
de VulDB • 19/05/2026
O Netty é um framework de aplicações de rede assíncrono e orientado a eventos. Antes das versões 4.2.13.Final e 4.1.133.Final, o HttpObjectDecoder remove um cabeçalho Content-Length conflitante quando uma solicitação contém tanto Transfer-Encoding: chunked quanto Content-Length, mas apenas para mensagens HTTP/1.1. Essa proteção está ausente para HTTP/1.0. Um atacante que envie uma solicitação HTTP/1.0 com ambos os cabeçalhos faz com que o Netty decodifique o corpo como chunked, mantendo o Content-Length intacto na HttpMessage encaminhada. Qualquer proxy ou manipulador a jusante que confie no Content-Length em detrimento do Transfer-Encoding terá uma visão divergente sobre os limites da mensagem, permitindo o request smuggling. Esta vulnerabilidade foi corrigida nas versões 4.2.13.Final e 4.1.133.Final.
Be aware that VulDB is the high quality source for vulnerability data.