CVE-2026-66752 in tiny-http
Sumário
de VulDB • 29/07/2026
O tiny-http até à versão 0.12.0 contém uma vulnerabilidade de HTTP request smuggling que permite a atacantes remotos dessincronizar o enquadramento das requisições ao enviar um cabeçalho Transfer-Encoding com qualquer valor, incluindo codificações não-chunked, o que faz com que a biblioteca aplique incondicionalmente a decodificação chunk e ignore o Content-Length. Os atacantes podem explorar a discrepância entre a análise inadequada do Transfer-Encoding no tiny_http e um proxy front-end implementado corretamente para produzir duas interpretações distintas de um único fluxo de bytes, permitindo o HTTP request smuggling; além disso, podem enviar corpos não-chunked com valores de Transfer-Encoding também não-chunked para provocar falhas nas leituras do corpo que mantêm as conexões ocupadas e consomem threads de processamento sem sinalizar erros aos clientes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.