CVE-2026-114216

mtrudel bandit'in HTTP/1.1 chunked gövde okuyucusundaki tutarsız HTTP istek yorumlama ('HTTP Request/Response Smuggling') zafiyeti, kimliği doğrulanmamış uzak bir saldırganın, yalın bir LF içeren bir chunk uzantısı aracılığıyla ön uç proxy'sini geçerek ikinci bir isteği sızdırmasına olanak tanır. lib/bandit/http1/socket.ex dosyasındaki chunked okuyucu, chunk-size satırını ilk CRLF'ye kadar olan her şey olarak kabul eder ve sonrasındakileri RFC 9112 chunk-ext grameriyle kontrol etmeden atar; bu nedenle yalın LF, yalın CR ve diğer kontrol baytları geçer. Boyut satırını yalın bir LF ile sonlandıran bir proxy, 2;\nxx\r\n40\r\n... ifadesini, ikinci chunk'ı GET /admin içeren tek bir istek olarak okurken, Bandit gövdeyi erken sonlandırır ve GET /admin isteğini ayrı bir pipelined istek olarak gönderir. Önünde böyle bir proxy bulunmayan Bandit kurulumları etkilenmez. Bu sorun bandit: 1.12.4 sürümünden 1.14.0 öncesine kadar olan sürümleri etkilemektedir.