CVE-2026-59921
Açıklama
Netty, asenkron ve olay güdümlü bir ağ uygulama çerçevesidir. 4.1.136.Final ve 4.2.16.Final versiyonlarından önce, HttpPostRequestEncoder; kullanıcı tarafından sağlanan dosya adlarını ve alan adlarını, CRLF karakterlerini (\r\n) doğrulamadan veya temizlemeden doğrudan Content-Disposition MIME başlıklarına ekleyerek multipart HTTP istek gövdeleri oluşturmaktadır. MIME başlıkları CRLF ile sınırlandırıldığından, dosya adını kontrol eden bir saldırgan, multipart gövde kısmına rastgele MIME başlıkları enjekte edebilir. Sorunun temel nedeni, ne kodlayıcının ne de yalnızca null kontrolü yapan FileUpload uygulamalarının setFilename() yöntemlerinin, dosya adı başlığa yerleştirilmeden önce CRLF karakterlerini etkisiz hale getirmemesidir. Bu sorun 4.1.136.Final ve 4.2.16.Final versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- netty netty4.1.136, 4.2.16 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.2.16.Final, 4.1.136.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.136, 4.2.0 ≤ v < 4.2.16 | 4.1.136, 4.2.16 |
| io.netty:netty-codec-httpMaven | 4.2.0.Final ≤ v < 4.2.16.Final, v < 4.1.136.Final | 4.2.16.Final, 4.1.136.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.