CVE-2026-64785

Nome do Software Vulnerável e Versões Afetadas swift-nio-http2 versões anteriores a 1.45.0

Description O SwiftNIO HTTP/2 não realiza a validação de frames HEADERS de entrada, permitindo que caracteres de controle como CR, LF, NUL e SP alcancem um backend HTTP/1.1 através do codec HTTP/2-to-HTTP/1. Isso pode possibilitar o contrabando de requisições HTTP (HTTP request smuggling) ou a divisão de respostas (response splitting). O problema ocorre porque os valores dos campos de cabeçalho regulares não são inspecionados em busca de caracteres CR ou LF, e os valores de pseudo-cabeçalho, especificamente :path, não são verificados quanto a caracteres SP. Isso cria um diferencial de análise na linha de requisição. O risco existe em pipelines que ignoram a validação de saída ou em códigos que encaminham valores de HTTPRequestHead.headers presumindo que já foram validados.

Recommendations Atualize para a versão 1.45.0.