CVE-2026-66752
Təsvir
tiny-http 0.12.0 versiyasına qədər olan versiyaları, uzaqdakı hücumçulara istənilən dəyərdə (o cümlədən chunk-olmayan kodlaşdırmalar daxil olmaqla) Transfer-Encoding başlığı göndərməklə sorğu çərçivələrini desinxronizasiya etməyə imkan verən HTTP request smuggling zəifliyinə malikdir; bu, kitabxananın şərtsiz olaraq chunk-dekodlamanı tətbiq etməsinə və Content-Length parametrinin nəzərə alınmamasına səbəb olur. Hücumçular tiny_http-nin yanlış Transfer-Encoding təhlili ilə düzgün tətbiq edilmiş ön-plan proksisi arasındakı uyğunsuzluqdan istifadə edərək tək bir bayt axınının iki fərqli interpretasiyasını yarada bilər ki, bu da request smuggling-i mümkün edir. Bundan əlavə, onlar client-lərə xəta siqnalları göndərmədən bağlantıları məşğul etmək və işçi thread-ləri tükətmək üçün chunk-olmayan Transfer-Encoding dəyərləri ilə chunk-olmayan gövdələr göndərə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tiny-http tiny-http | v ≤ 0.12.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.