CVE-2026-100666 in Netty
Сводка
по VulDB • 26.09.2026
В компоненте HttpServerCodec (io.netty:netty-codec-http) библиотеки Netty в версиях от 4.2.0.Final до 4.2.16.Final, а также во всех версиях вплоть до 4.1.136.Final включительно, каждый исходящий ответ связывается с входящим запросом путем однократного вызова pollMethod() для каждого ответа, включая информационные ответы со статусом 1xx. Если клиент использует HTTP pipelining и отправляет GET-запрос с заголовком Expect: 100-continue, а затем HEAD-запрос, то ответ 100 Continue потребует метод из очереди GET, в результате чего последующий ответ 200 OK для GET будет связан с HEAD, а его тело (body) будет отброшено; при этом следующий за этим ответ 200 OK для HEAD-запроса будет отправлен вместе с телом. Это приводит к десинхронизации HTTP-парсинга на соединении: тело GET никогда не доставляется клиенту, а тело ответа HEAD интерпретируется как тело GET, что вызывает response splitting (разделение ответов) и небезопасное повторное использование соединения. Уязвимость исправлена в версиях 4.2.17.Final и 4.1.137.Final.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.