CVE-2026-44546
Açıklama
4.2.2 sürümü öncesindeki daphne, ham bir HTTP isteğini Twisted'in ayrıştırılmış başlıklarından yeniden oluşturur ve bunu WebSocket el sıkışma işlemi için autobahn'a iletir. Twisted; \x0b, \x0c, \x1c, \x1d, \x1e veya \x85 karakterlerini başlık satırı ayırıcı olarak değerlendirmezken, autobahn başlık değerlerini str formatına dönüştürür ve splitlines() fonksiyonunu çağırır. Bir saldırgan, bu ayrıştırıcı farkını kullanarak uygulamaya iletilen ASGI kapsamına ek başlıklar enjekte edebilir. daphne artık herhangi bir başlık değerinde bu baytların bulunduğu istekleri 400 yanıtı ile reddetmektedir.
Nasıl düzeltilir
- djangoproject daphne4.2.2 ya da sonraki bir sürüm
- daphne4.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| djangoproject daphne | v < 4.2.2 | 4.2.2 |
| daphnePyPI | v < 4.2.2 | 4.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.