CVE-2026-115877

Twisted, Python 3.6+ destekleyen, internet uygulamaları için olay tabanlı bir çerçevedir. 26.10.0rc1 sürümünden önce, twisted.web.http.HTTPChannel.headerReceived bir HTTP başlık değerindeki NUL baytını reddeder ancak tek başına satır başı (carriage return) veya satır besleme (line feed) karakterlerini kabul eder. Twisted başlık satırlarını yalnızca CRLF üzerinden böldüğü için, esnek bir ön uç (front end) tekil karakteri satır sonlandırıcı olarak değerlendirirken, gizli bir Content-Length başlığı başka bir değerin içinde katlanmış halde kalabilir. Ortaya çıkan çerçeveleme uyuşmazlığı; takip eden bir isteğin ön uç erişim kontrollerini atlatmasına, paylaşılan bir bağlantının veya önbelleğin zehirlenmesine ve daha sonra gelen bir istemcinin yanlış yanıta maruz kalmasına neden olabilir. Bu sorun, önceki Twisted istek kaçakçılığı (request smuggling) korumalarının eksik düzeltilmesinden kaynaklanan bir kalıntıdır. Bu sorun 26.10.0rc1 sürümünde düzeltilmiştir.