CVE-2026-48596

Nome do Software Vulnerável e Versões Afetadas tesla versões 0.8.0 até 1.18.2

Description A neutralização inadequada de sequências CRLF (Carriage Return e Line Feed) em cabeçalhos HTTP permite a injeção de cabeçalhos HTTP. A função Tesla.Multipart.add content type param/2 anexa strings fornecidas pelo chamador à lista content type params multipart sem validar caracteres r ou . Posteriormente, a função Tesla.Multipart.headers/1 une esses parâmetros textualmente para construir o valor do cabeçalho Content-Type de saída. Um parâmetro contendo r divide a linha do cabeçalho, permitindo que cabeçalhos arbitrários sejam injetados na solicitação HTTP de saída. Qualquer aplicação que encaminhe entradas não confiáveis, como charset ou strings de parâmetros fornecidas pelo usuário, para a função Tesla.Multipart.add content type param/2 é afetada. Isso pode resultar na falsificação de cabeçalhos de solicitação de saída ou potencial contrabando de requisições (request smuggling) contra o servidor upstream.

Recommendations Atualize o tesla para a versão 1.18.3. Como medida paliativa temporária, valide as strings de parâmetros de content-type antes de passá-las para a função Tesla.Multipart.add content type param/2, rejeitando qualquer valor que contenha r ou .