CVE-2026-54387

Nome do Software Vulnerável e Versões Afetadas Tinyproxy versões anteriores ao commit ff45d3b

Descrição O Tinyproxy não consegue reconciliar cabeçalhos conflitantes de Content-Length e Transfer-Encoding: chunked, encaminhando ambos literalmente para o backend enquanto utiliza o Content-Length para determinar a quantidade de bytes do corpo da requisição a serem consumidos. Isso permite que atacantes remotos dessincronizem o estado do parser do proxy e do backend, possibilitando a injeção de requisições HTTP arbitrárias ao backend. Isso pode resultar em envenenamento de cache, bypass de controle de acesso e sequestro de requisições. Este problema é uma forma de HTTP Request Smuggling, onde uma discrepância na maneira como diferentes servidores interpretam o fim de uma requisição permite que uma segunda requisição seja contrabandeada.

Recomendações Atualize para a versão que contém o commit ff45d3b.