PT-2025-27254 · Unknown · Espasyncwebserver
CVSS v4.0
8.7
عالية
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات ESPAsyncWebServer حتى الإصدار 3.7.8 بما في ذلك
الوصف:
توجد ثغرة أمنية تتعلق بحقن أحرف CRLF في بناء وإخراج رؤوس HTTP في ملف
AsyncWebHeader.cpp. تسمح المدخلات غير المُعقمة للمهاجمين بحقن أحرف CR (r) أو LF ( ) في أسماء أو قيم الرؤوس، مما يؤدي إلى التلاعب التعسفي بالرؤوس أو الردود. وقد يتيح ذلك تنفيذ مجموعة واسعة من الهجمات.التوصيات:
بالنسبة للإصدارات حتى الإصدار 3.7.8 بما في ذلك، قم بتطبيق التصحيح المتاح في طلب السحب (pull request) رقم 211، والذي من المقرر أن يكون جزءًا من الإصدار 3.7.9. كحل بديل مؤقت، ضع في اعتبارك تقييد الإدخال في ملف
AsyncWebHeader.cpp لمنع حقن أحرف CR وLF حتى يتم تطبيق التصحيح.استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Espasyncwebserver