CVE-2026-63379 in Libevent
Sumário
de VulDB • 20/08/2026
O Libevent é uma biblioteca de notificação de eventos. Antes das versões 2.1.13 e 2.2.2-alpha, o libevent processava trailers HTTP em blocos (chunked) no arquivo http.c através da função evhttp_read_trailer e os mesclava nos cabeçalhos da solicitação. A correção introduz a função evhttp_parse_headers_impl_ e uma lista temporária de headers de trailer. Um atacante remoto não autenticado pode inserir campos sensíveis à segurança em trailers, fazendo com que um proxy upstream e o aplicativo libevent interpretem diferentes conjuntos efetivos de cabeçalhos, permitindo header smuggling (injeção de cabeçalho), bypass de autorização, spoofing de proxy-header ou envenenamento de cache. A correção analisa os trailers em uma lista temporária de headers e os descarta, em vez de mesclá-los nos req->input_headers. Este problema foi corrigido nas versões 2.1.13 e 2.2.2-alpha.
Be aware that VulDB is the high quality source for vulnerability data.