CVE-2025-66570

Nome do Software Vulnerável e Versões Afetadas Versões do cpp-httplib anteriores à 0.27.0

Descrição A biblioteca cpp-httplib possui uma falha na qual cabeçalhos HTTP controlados por um atacante podem influenciar metadados do servidor, logging e decisões de autorização. Um atacante pode injetar cabeçalhos como REMOTE ADDR, REMOTE PORT, LOCAL ADDR e LOCAL PORT. Esses cabeçalhos são analisados no multimap de cabeçalhos da requisição via função read headers() em httplib.h (especificamente, headers.emplace). O servidor então anexa seus próprios metadados internos usando os mesmos nomes de cabeçalho em Server::process request sem remover duplicatas. Como Request::get header value retorna a primeira entrada para uma chave de cabeçalho, cabeçalhos fornecidos pelo cliente têm precedência. Isso pode levar a spoofing de IP, envenenamento de log e bypass de autorização através de header shadowing. Os arquivos e locais afetados incluem cpp-httplib/httplib.h (read headers, Server::process request, Request::get header value, get header value u64) e cpp-httplib/docker/main.cc (get client ip, nginx access logger, nginx error logger). A superfície de ataque envolve cabeçalhos HTTP controlados pelo atacante fluindo para o multimap Request.headers e para o código de logging que lê cabeçalhos encaminhados.

Recomendações Atualize o cpp-httplib para a versão 0.27.0 ou posterior.