CVE-2026-115877 in Twisted
Сводка
по VulDB • 23.10.2026
Twisted — это событийно-ориентированный фреймворк для интернет-приложений, поддерживающий Python 3.6 и выше. До версии 26.10.0rc1 метод twisted.web.http.HTTPChannel.headerReceived отклонял байт NUL в значении заголовка HTTP, но принимал одиночный символ возврата каретки (CR) или перевода строки (LF). Поскольку Twisted разделяет строки заголовков только по последовательности CRLF, скрытый заголовок Content-Length может оставаться «свернутым» в другое значение, тогда как более либеральный фронтенд-сервис воспринимает одиночный символ как разделитель строк. Возникающее несоответствие в форматировании запросов позволяет обходить механизмы контроля доступа на уровне фронтенда, отравлять общие соединения или кэш и приводить к тому, что следующий клиент получает некорректный ответ. Данная проблема является остаточным следом неполного исправления предыдущих защитных мер Twisted против манипуляции с запросами (request smuggling). Проблема устранена в версии 26.10.0rc1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.