PT-2026-37246
CVE-2026-41417
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.133.Final
إصدارات Netty السابقة للإصدار 4.2.13.Final
الوصف
يمكن تجاوز عملية التحقق من صحة سطر الطلب عند إنشاء كائن
DefaultHttpRequest أو DefaultFullHttpRequest ثم تعديل عنوان URI الخاص به لاحقًا باستخدام الدالة setUri(). في حين أن منشئات الكائنات ترفض أحرف CRLF (Carriage Return Line Feed) وأحرف المسافات البيضاء لمنع تلف بداية السطر، فإن setUri() لا تقوم بهذا التحقق. ونتيجة لذلك، يقوم كل من HttpRequestEncoder وRtspEncoder بكتابة عنوان URI في سطر الطلب حرفياً. إذا تم تمرير مدخلات يسيطر عليها المهاجم إلى setUri()، فإن ذلك يتيح حقن أحرف CRLF وإدراج طلبات HTTP أو RTSP إضافية. قد يؤدي ذلك إلى تهريب طلبات HTTP، وفقدان التزامن على جانب HTTP، وحقن الطلبات على جانب RTSP.التوصيات
قم بالتحديث إلى الإصدار 4.1.133.Final أو أحدث.
قم بالتحديث إلى الإصدار 4.2.13.Final أو أحدث.
كحل مؤقت، تجنب استخدام دالة
setUri() مع مدخلات يسيطر عليها المهاجم.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾