PT-2026-122224
CVE-2026-115877
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Twisted الإصدارات السابقة لـ 26.10.0rc1
Description
يؤدي التحقق غير المكتمل من قيمة الرأس في خادم HTTP الخاص بـ Twisted إلى السماح لرمز عودة العربة (CR) أو تغذية السطر (LF) في قيمة الرأس بإخفاء رأس لاحق عن المحلل. تقوم الدالة
twisted.web.http.HTTPChannel.headerReceived برفض بايتات NUL ولكنها تفشل في رفض رموز CR أو LF البسيطة. نظرًا لأن الإطار البرمجي يقسم خطوط الرأس فقط بناءً على CRLF، فإن الرأس الذي يحتوي على LF بسيط يمكن أن يتسبب في دمج رأس ثانٍ، مثل Content-Length ، ضمن قيمة الرأس الأول. يؤدي هذا إلى حدوث تعارض في التأطير بين Twisted ووكيلاً أمامياً (front-end) يتساهل ويعامل الرمز البسيط كمحدد لنهاية السطر. يمكن للمهاجم استغلال ذلك لتهريب الطلبات وتجاوز ضوابط الوصول في الواجهة الأمامية، أو تسميم الاتصالات المشتركة أو ذاكرة التخزين المؤقت، مما يعرض العملاء اللاحقين لاستلام استجابات خاطئة.Recommendations
تحديث Twisted إلى الإصدار 26.10.0rc1 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾