CVE-2026-77358
Açıklama
cpp-httplib, C++ tabanlı header-only bir HTTP/HTTPS kütüphanesidir. 0.33.0 ile 0.50.0 arasındaki sürümlerde, TLS etkinleştirilmiş WebSocket istemcisi, hala kullandığı WebSocket bağlantısını kapatmadan önce TLS oturumunu serbest bırakmakta ve bu durum bir use-after-free hatasına yol açmaktadır. WebSocketClient::shutdown_and_close fonksiyonunda SSL nesnesi serbest bırakılır ve işaretçi temizlenir; ancak ardından gelen WebSocket kapatma işlemi, halihazırda geçersiz hale gelmiş olan oturum işaretçisinin ham bir kopyasını tutan SSL soket akışı üzerinden hala bir kapatma çerçevesi göndererek serbest bırakılan bellekten okuma ve yazma işlemleri gerçekleştirir. Aynı serbest bırakma ve sonrasında kullanma sırasına istemcinin yıkıcı metodu (destructor) ve connect yolu üzerinden de erişilebildiğinden, güvenli bir WebSocket bağlantısının standart şekilde sonlandırılması bu kusuru tetikler. Bu sorun 0.50.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| yhirose cpp-httplib | >= 0.33.0, < 0.50. | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.