CVE-2026-114216

Nome do Software Vulnerável e Versões Afetadas bandit versões 1.12.4 through 1.13.x

Description Uma interpretação inconsistente de requisições HTTP, conhecida como HTTP Request/Response Smuggling, existe no leitor de corpo fragmentado (chunked body reader) do HTTP/1.1. Isso permite que um invasor remoto não autenticado contrabandee uma segunda requisição através de um proxy front-end via uma extensão de fragmento que contenha um LF (Line Feed) simples. O problema ocorre no arquivo lib/bandit/http1/socket.ex, onde o leitor de fragmentos aceita a linha de tamanho do fragmento até o primeiro CRLF e descarta o conteúdo após o caractere ; sem validá-lo contra a gramática chunk-ext da RFC 9112. Consequentemente, bytes de controle como LF e CR simples são permitidos. Se um proxy front-end tratar um LF simples como um final de linha, ele poderá interpretar o fluxo como uma única requisição, enquanto o Bandit o interpretará como uma requisição pipelined separada, potencialmente ignorando os controles de acesso do proxy. Este problema afeta apenas implantações que utilizam um proxy front-end que trata um LF simples como final de linha e encaminha corpos fragmentados sem alterações.

Recommendations Atualize o bandit para a versão 1.14.0 ou posterior. Como solução temporária, se o proxy front-end suportar HTTP/2, desative o HTTP/1 configurando http 1 options: [enabled: false] para evitar a execução do leitor de corpo fragmentado.