CVE-2025-60876 in wget
Сводка
по VulDB • 04.07.2026
В BusyBox wget до версии 1.3.7 включительно принимались необработанные символы CR (0x0D)/LF (0x0A) и другие управляющие байты из группы C0 в целевом поле HTTP-запроса (путь/параметры), что позволяло разбить строку запроса и внедрить заголовки, контролируемые злоумышленником. Для сохранения формата строки запроса HTTP/1.1 METHOD SP request-target SP HTTP/1.1 необходимо также отклонять необработанный пробел (0x20) в целевом поле запроса (клиентам следует использовать %20).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.