CVE-2020-5249 in Puma Gem

摘要

由 VulDB • 2026-05-22

在 Puma (RubyGem) 4.3.3 和 3.12.4 之前的版本中，如果应用程序使用 Puma 并在 early-hints 头中允许不受信任的输入，攻击者可以利用回车符结束头信息并注入恶意内容，例如额外的头信息或全新的响应体。此漏洞被称为 HTTP 响应拆分（HTTP Response Splitting）。虽然它本身并非一种攻击，但响应拆分是多种其他攻击（如跨站脚本攻击 XSS）的向量。这与 CVE-2020-5247 相关，该漏洞修复了此问题，但仅针对常规响应。此问题已在 4.3.3 和 3.12.4 版本中修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub, Inc.
• 预定: 2020-01-02
• 管理: 已接受
• 条目: VDB-150816
• CPE: 准备好
• CWE: CWE-113 (已确认)
• CVSS: 6.5 (NVD)
• EPSS: 0.01571
• KEV: 否
• 活动: 非常低
• 部门: Telecommunication

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-5249
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-5249
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-5249/