CVE-2026-63385

Nome do Software Vulnerável e Versões Afetadas Libevent versões anteriores a 2.1.13 Libevent versões anteriores a 2.2.2-alpha

Description Existem duas fraquezas de parsing HTTP no arquivo http.c. A função evhttp decode uri internal() decodifica bytes %00 codificados em percentual para caracteres NUL literais, o que pode levar ao truncamento de caminho durante operações de string C subsequentes e permitir a evasão de validação. Além disso, a função evhttp header is valid value() aceita a dobra de linha obsoleta em valores de cabeçalho contendo caracteres de retorno de carro ou alimentação de linha. Essa discrepância na forma como um proxy e a biblioteca interpretam os cabeçalhos pode permitir a injeção de cabeçalhos ou a evasão de controle de acesso.

Recommendations Atualize para a versão 2.1.13 ou posterior. Atualize para a versão 2.2.2-alpha ou posterior.