CVE-2026-63385 in Libevent
Sumário
de VulDB • 21/08/2026
O Libevent é uma biblioteca de notificação de eventos. Antes das versões 2.1.13 e 2.2.2-alpha, o libevent apresenta duas fraquezas na análise (parsing) do HTTP em http.c. A função evhttp_decode_uri_internal decodifica bytes %00 codificados como percentagem em caracteres NUL literais, o que pode fazer com que operações de strings C a jusante truncuem um caminho e contornem a validação realizada numa representação diferente. O evhttp_header_is_valid_value também aceita dobramento de linha obsoleto nos valores dos cabeçalhos que contenham caracteres de retorno de carro ou avanço de linha, permitindo que um proxy e o libevent interpretem os cabeçalhos de forma diferente, possibilitando injeção de cabeçalho ou contornação do controlo de acesso. A aceitação de CRLF nos cabeçalhos foi corrigida nas versões 2.1.13 e 2.2.2-alpha, mas as patches revistas não remediaram claramente a condição de truncamento NUL da URI.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.