PT-2026-25163
CVE-2026-23941
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 2.0
9.7
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang OTP من 17.0 إلى 28.4.1
إصدارات Erlang OTP 26.2.5.18 و27.3.4.9
إصدارات inets من 5.10 إلى 9.6.1
إصدارات inets 9.1.0.5 و9.3.2.3
الوصف
يوجد تفسير غير متسق لطلبات HTTP، وتحديدًا «تهريب طلبات HTTP» (HTTP Request Smuggling)، في Erlang OTP (وحدة inets httpd). ترتبط هذه المشكلة بملفات البرنامج
lib/inets/src/http server/httpd request.erl وروتين httpd request:parse headers/7. لا يتعامل الخادم بشكل صحيح مع رؤوس Content-Length المكررة، حيث يستخدم القيمة الأولى التي يصادفها لتحليل نص الرسالة، في حين أن البروكسيات العكسية الشائعة تستخدم القيمة الأخيرة. هذا التباين يخالف القسم 6.3 من RFC 9112 ويمكن أن يؤدي إلى عدم تزامن بين الواجهة الأمامية والواجهة الخلفية، مما قد يسمح للمهاجم بحقن بايتات خاضعة للتحكم في بداية الطلبات اللاحقة.التوصيات
تحديث Erlang OTP إلى إصدار أحدث من 28.4.1.
تحديث Erlang OTP إلى إصدار أحدث من 27.3.4.9.
تحديث Erlang OTP إلى إصدار أحدث من 26.2.5.18.
تحديث inets إلى إصدار أحدث من 9.6.1.
تحديث inets إلى إصدار أحدث من 9.3.2.3.
تحديث inets إلى إصدار أحدث من 9.1.0.5.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾