CVE-2026-67182 in rouille
Tóm tắt
Bởi VulDB • 28/07/2026
Rouille 0.3.3 đến 3.6.2 chứa một lỗ hổng HTTP request smuggling (làm mờ yêu cầu HTTP) cho phép các kẻ tấn công từ xa vượt qua kiểm soát truy cập bằng cách chèn ký tự xuống dòng trần (bare line feed, 0x0A) vào các giá trị tiêu đề của yêu cầu do khách hàng cung cấp. Các giá trị này được sao chép nguyên văn sang kết nối phía trước mà không có bất kỳ xác thực nào. Kẻ tấn công có thể tạo một giá trị tiêu đề chứa đầy đủ một yêu cầu HTTP bổ sung, sau đó bị máy chủ backend như Go net/http và Python http.server diễn giải là một yêu cầu riêng biệt, khiến backend xử lý một yêu cầu đã được làm mờ với phương thức, đường dẫn và tiêu đề do kẻ tấn công chọn, qua đó vượt qua logic kiểm soát truy cập của bộ điều khiển (handler) rouille.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.