CVE-2026-14180

Nome do Software Vulnerável e Versões Afetadas Undertow HTTP server (versões afetadas não especificadas) WildFly (versões afetadas não especificadas) JBoss EAP (versões afetadas não especificadas)

Description Uma falha foi encontrada no componente ChunkReader do servidor HTTP Undertow, utilizado pelo WildFly e JBoss EAP para lidar com a codificação de transferência em blocos (chunked transfer encoding). O problema ocorre porque o parser utiliza uma única variável interna para armazenar tanto as flags de estado quanto o tamanho do bloco restante. Um invasor pode enviar uma requisição especialmente manipulada com um tamanho de bloco extremamente grande, fazendo com que esses valores se sobreponham e enganando o parser para pensar que uma requisição terminou prematuramente. Isso pode permitir o contrabando de requisições (HTTP request smuggling), onde uma segunda requisição é processada fora de sincronia, potencialmente ignorando controles de segurança.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.