CVE-2026-115877

Nome do Software Vulnerável e Versões Afetadas Twisted versões anteriores a 26.10.0rc1

Description Uma validação incompleta de valor de cabeçalho no servidor HTTP do Twisted permite que um retorno de carro (CR) ou avanço de linha (LF) simples em um valor de cabeçalho oculte um cabeçalho subsequente do analisador. A função twisted.web.http.HTTPChannel.headerReceived rejeita bytes NUL, mas não rejeita caracteres CR ou LF simples. Como o framework divide as linhas de cabeçalho apenas em CRLF, um cabeçalho contendo um LF simples pode fazer com que um segundo cabeçalho, como Content-Length, seja incorporado ao valor do primeiro. Isso cria uma divergência de enquadramento entre o Twisted e um proxy de front-end permissivo que trata o caractere simples como um terminador de linha. Um invasor pode explorar isso para contrabandear requisições através dos controles de acesso do front-end, envenenar conexões compartilhadas ou caches e fazer com que clientes posteriores recebam respostas incorretas.

Recommendations Atualize o Twisted para a versão 26.10.0rc1 ou posterior.