CVE-2026-56866

Nome do Software Vulnerável e Versões Afetadas Go (versões afetadas não especificadas)

Descrição Quando o http.Transport envia uma solicitação HTTP/1 CONNECT contendo um Request.Body não vazio, o corpo é gravado diretamente na conexão sem enquadramento após os cabeçalhos da solicitação. Se o servidor responder à solicitação CONNECT com uma resposta keep-alive não-2xx, a conexão é retornada ao pool de inatividade. Como as solicitações CONNECT não devem ter um corpo de solicitação, o servidor pode interpretar os bytes restantes do corpo como uma solicitação HTTP/1.1 pipelined subsequente na conexão. Isso resulta em uma conexão de pool dessincronizada, fazendo com que o próximo usuário dessa conexão leia a resposta da solicitação injetada. Em proxies reversos, como o httputil.ReverseProxy, que utilizam um Transport compartilhado, esse comportamento pode levar ao envenenamento de resposta entre usuários (cross-user response poisoning).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.