CVE-2026-63379

Nome do Software Vulnerável e Versões Afetadas Libevent versões anteriores a 2.1.13 Libevent versões anteriores a 2.2.2-alpha

Description Um invasor remoto não autenticado pode explorar a maneira como os trailers HTTP chunked são processados em http.c através da função evhttp read trailer(). O software mescla esses trailers nos cabeçalhos de requisição, o que pode levar a discrepâncias na forma como um proxy upstream e a aplicação interpretam os cabeçalhos efetivos. Esse comportamento permite o contrabando de cabeçalhos (header smuggling), bypass de autorização, spoofing de cabeçalho de proxy ou envenenamento de cache. O problema ocorre porque os trailers são mesclados em req->input headers em vez de serem tratados separadamente.

Recommendations Atualizar para a versão 2.1.13. Atualizar para a versão 2.2.2-alpha.