CVE-2026-59921

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.136.Final Netty versões anteriores a 4.2.16.Final

Description O HttpPostRequestEncoder do Netty constrói corpos de requisição HTTP multipart concatenando diretamente nomes de arquivos e nomes de campos fornecidos pelo usuário em cabeçalhos MIME Content-Disposition sem validar ou sanitizar caracteres CRLF (Carriage Return Line Feed). Como os caracteres CRLF são usados como delimitadores de cabeçalhos MIME, um invasor que controle o nome do arquivo pode injetar cabeçalhos MIME arbitrários na parte do corpo multipart. Isso ocorre porque o codificador e os métodos setFilename() em DiskFileUpload, MemoryFileUpload e MixedFileUpload não neutralizam esses caracteres. Isso pode levar ao spoofing de Content-Type, Cross-Site Scripting (XSS) armazenado ao alterar o tipo de arquivo para HTML, ou a injeção de cabeçalhos personalizados que podem afetar middlewares downstream e a lógica da aplicação.

Recommendations Atualize o Netty para a versão 4.1.136.Final ou posterior. Atualize o Netty para a versão 4.2.16.Final ou posterior. Como mitigação temporária, restrinja o uso do HttpPostRequestEncoder ou implemente a sanitização manual de CRLF em todos os nomes de arquivos e campos fornecidos pelo usuário antes que sejam processados pelo codificador.