CVE-2026-105660

mtrudel bandit proqramındakı girişin sintaktik düzgünlüyünün yanlış təsdiqlənməsi zəifliyi, autentifikasiya olunmamış uzaq hücumçuya HTTP/1 mütləq-forma və ya avtoritet-forma sorğu hədəfinin avtoriteti vasitəsilə conn.host və conn.port dəyərlərini RFC 3986 host qrammatikasından kənar dəyərlərə təyin etməyə imkan verir. Bandit Host başlığını yoxlayır və o, yanlış formatda olduqda 400 cavabını qaytarır, lakin sorğu hədəfi öz avtoritetini daşıdıqda, RFC 9112-nin tələb etdiyi kimi həmin avtoritet üstünlük təşkil edir və lib/bandit/pipeline.ex faylındakı Bandit.Pipeline.determine_host_and_port!/4 funksiyası onu tətbiqə yoxlanılmadan ötürür. Düzgün Host başlığı olan GET http://[email protected]/x HTTP/1.1 kimi bir sorğu sətri conn.host dəyərinin [email protected] olmasına səbəb olur və eyni yol NUL, DEL və qeyri-ASCII baytlarını, yanlış IP literallarını və 1..65535 diapazonundan kənar portları qəbul edir. HTTP/1.0 bəndində heç bir Host başlığına ehtiyac yoxdur və CONNECT metodu təhlil edilməmiş port sətrini conn.port hissəsinə yerləşdirir. Plug.Conn.request_url/1 və ya Phoenix URL köməkçiləri vasitəsilə conn.host-dan mütləq URL-lər quran tətbiqlər, avtoriteti hücumçu tərəfindən seçilmiş linklər yaradır. Mesaj çərçivələnməsi təsirə məruz qalmır və heç bir CR və ya LF simvolu conn.host-a çata bilmir. Bu problem bandit versiyalarının 0.6.0-dan 1.13.0-a qədər olan hissəsinə təsir edir.