CVE-2026-63382 in Libevent
Sumário
de VulDB • 21/08/2026
O libevent é uma biblioteca de notificação de eventos. Antes das versões 2.1.13 e 2.2.2-alpha, o parser evhttp do HTTP em http.c lida inconsistentemente com cabeçalhos Transfer-Encoding duplicados, valores separados por vírgula no campo Transfer-Encoding e quebras de linha soltas (bare line feeds) na estruturação chunked. A função evhttp_find_header seleciona apenas o primeiro cabeçalho; a função evhttp_check_transfer_encoding_ estava ausente, fazendo com que a comparação anterior da string inteira falhasse ao reconhecer listas válidas que terminam em "chunked"; e o evhttp_handle_chunked_read usa EVBUFFER_EOL_CRLF em vez de EVBUFFER_EOL_CRLF_STRICT, aceitando terminadores chunked com LF solto. Quando o libevent é implantado atrás de um proxy que estrutura a mesma solicitação de maneira diferente, um atacante remoto não autenticado pode dessincronizar os limites das solicitações e ocultar uma segunda solicitação (request smuggling), potencialmente contornando controles de acesso ou envenenando caches. Este problema foi corrigido nas versões 2.1.13 e 2.2.2-alpha.
Be aware that VulDB is the high quality source for vulnerability data.