PT-2026-76583
CVE-2026-63385
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
9.7
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Libevent الأقدم من 2.1.13
إصدارات Libevent الأقدم من 2.2.2-alpha
الوصف
توجد ثغرتان في تحليل HTTP في ملف
http.c. تقوم الدالة evhttp decode uri internal() بفك تشفير البايتات %00 المشفرة بنسبة مئوية إلى أحرف NUL حرفية، مما قد يؤدي إلى اقتطاع المسار أثناء عمليات سلاسل C اللاحقة ويسمح بتجاوز التحقق من الصحة. بالإضافة إلى ذلك، تقبل الدالة evhttp header is valid value() طريقة طي الأسطر القديمة في قيم الرؤوس التي تحتوي على أحرف إرجاع العربة أو تغذية السطر. وقد يؤدي هذا التباين في كيفية تفسير الوكيل والمكتبة للرؤوس إلى تمكين حقن الرؤوس أو تجاوز ضوابط الوصول.التوصيات
التحديث إلى الإصدار 2.1.13 أو أحدث.
التحديث إلى الإصدار 2.2.2-alpha أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾