PT-2026-134230
CVE-2026-55614
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
uhttpd (إصدارات متأثرة غير محددة)
Description
تقوم الدالة
client parse header() في الملف client.c بتحويل أسماء الرؤوس إلى أحرف صغيرة، ولكنها تستخدم strcmp الحساسة لحالة الأحرف لمقارنة قيمة Transfer-Encoding بكلمة chunked. وبما أن رموز ترميز النقل غير حساسة لحالة الأحرف، يتم قبول الرمز الذي يحتوي على حالة أحرف مختلطة دون تفعيل r->transfer chunked. وفي حالة اتصال keep-alive، يظل جسم POST من نوع chunked غير مقروء، مما يؤدي إلى تحليل بايتات الجسم التي تتخذ شكل طلب على أنها طلب HTTP آخر، وهو ما يسمح بتهريب طلبات HTTP (HTTP request smuggling) وعدم تزامن الحدود.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾