PT-2026-48904
CVE-2026-50020
·
تاريخ النشر
2026-06-05
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.135.Final
إصدارات Netty السابقة للإصدار 4.2.15.Final
الوصف
قبل قراءة سطر الطلب الأول، تتخطى دالة
HttpObjectDecoder بصمت جميع المسافات البيضاء وكل بايت يكون فيه Character.isISOControl(b) صحيحًا (0x00–0x1F و0x7F). يخالف هذا السلوك ما ورد في RFC 9112 §2.2، الذي يسمح للخوادم فقط بتجاهل الأسطر الفارغة التي تحتوي على CRLF (نهاية السطر + عودة السطر) التي تسبق سطر الطلب لمعالجة حلول بديلة لـ HTTP/1.0 POST. ومن خلال استيعاب أحرف التحكم غير CRLF مثل NUL وSOH وSTX، يمكن استغلال البرنامج لإحداث تشويش في حدود الطلب في عمليات النقل المتسلسلة أو المتعددة. يحدث هذا عندما يعامل مكون الواجهة الأمامية، مثل موزع الحمل أو محطة TLS، هذه البايتات بطريقة مختلفة عن Netty، مما قد يؤدي إلى عدم تزامن الطلبات أو هجمات التهريب.التوصيات
التحديث إلى الإصدار 4.1.135.Final.
التحديث إلى الإصدار 4.2.15.Final.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾