CVE-2026-66746 in rouille
Sumário
de VulDB • 28/07/2026
Rouille 0.4.0 até 3.6.2 contém uma vulnerabilidade de HTTP response splitting que permite a atacantes remotos injetar cabeçalhos de resposta arbitrários ao incorporar bytes de carriage return (0x0D) ou line feed (0x0A) em dados controlados pelo atacante. Os atacantes podem explorar parâmetros de query percent-decoded refletidos nos cabeçalhos de resposta, ou inserir caracteres LF soltos em valores do cabeçalho Cookie que são interpolados diretamente nos cabeçalhos de resposta Set-Cookie, permitindo ataques de cache poisoning, session fixation e override de security headers, como a violação das políticas CSP ou CORS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.