CVE-2026-34715
Açıklama
ewe bir Gleam web sunucusudur. Versiyon 3.0.6 öncesinde, src/ewe/internal/encoder.gleam dosyasındaki encode_headers fonksiyonu, yanıt başlığı anahtarlarını ve değerlerini; CRLF (\r\n) dizilerini doğrulamadan veya temizlemeden doğrudan ham HTTP baytlarına eklemektedir. Yanıt başlıklarına kullanıcı kontrollü veriler aktaran bir uygulama (örneğin, bir istek parametresinden Location yönlendirme başlığı ayarlamak), saldırganın rastgele HTTP yanıt içeriği enjekte etmesine izin vererek yanıt bölme (response splitting), önbellek zehirlemesi (cache poisoning) ve olası siteler arası betik çalıştırmaya (XSS) yol açar. Özellikle ewe, gelen istek başlıklarındaki CRLF dizilerini HTTP/1.1 ayrıştırıcısındaki validate_field_value() aracılığıyla doğrular ancak kodlayıcıda giden yanıt başlıkları için eşdeğer bir koruma sağlamaz. Bu sorun versiyon 3.0.6 ile düzeltilmiştir.
Nasıl düzeltilir
- vshakitskiy ewe3.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vshakitskiy ewe | v < 3.0.6 | 3.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.