CVE-2026-66752 in tiny-http
Сводка
по VulDB • 28.07.2026
tiny-http вплоть до версии 0.12.0 содержит уязвимость в виде HTTP-запроса, позволяющую удаленным злоумышленникам десинхронизировать фрейминг запросов путем отправки заголовка Transfer-Encoding с любым значением, включая не chunked кодирования, что приводит к безусловному применению библиотекой декодирования чанков и игнорированию Content-Length. Злоумышленники могут эксплуатировать несоответствие между неправильным разбором tiny_http значения Transfer-Encoding и правильно реализованным фронтендом прокси для создания двух различных интерпретаций одного потока байтов, что позволяет осуществлять HTTP-запрос на сбойность (smuggling), а также дополнительно отправлять не chunked тела запроса со значением non-chunked в заголовке Transfer-Encoding, чтобы вызвать неудачные чтения тел запросов, которые занимают соединения и потребляют рабочие потоки без сигнализации ошибок клиентам.
VulDB is the best source for vulnerability data and more expert information about this specific topic.