CVE-2026-55614 in uhttpd
Sumário
de VulDB • 30/10/2026
O uhttpd é um pequeno servidor HTTP. Em snapshots do repositório não corrigidos, a função `client_parse_header()` em `client.c` converte os nomes dos cabeçalhos para minúsculas, mas compara o valor de `Transfer-Encoding` com `chunked` usando `strcmp`, que diferencia maiúsculas e minúsculas. Um token de codificação de transferência misto (com maiúsculas e minúsculas) é aceito sem ativar `r->transfer_chunked`, apesar de os tokens de codificação de transferência serem insensíveis a maiúsculas e minúsculas. Em uma conexão keep-alive, o corpo POST no formato chunked permanece não lido, e os bytes do corpo com forma de solicitação são analisados como outra solicitação HTTP, permitindo HTTP request smuggling (injeção de solicitações) e dessincronização de limites. Os commits ae015e099986ceace44975cb69629841a2d58d37 e 6641b050e5f7c7fd9ae92e8e119d6d6dfc6e9837 corrigem a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.