CVE-2026-43971

Nome do Software Vulnerável e Versões Afetadas cowlib versões 2.9.0 e posteriores

Description A codificação ou escape inadequado de saída na função cow link:link/1 permite o contrabando de diretivas do cabeçalho Link. A função cow link:do link/1 interpola a URI de destino, o valor rel e as chaves de atributo diretamente no valor do cabeçalho Link serializado sem escape ou validação de gramática de token. Especificamente, um byte > no destino pode fechar prematuramente o slot da URI, permitindo a adição de entradas de link não autorizadas. Além disso, um " ou `` no valor rel pode escapar a string entre aspas para abrir novos parâmetros, e qualquer byte em uma chave de atributo é emitido literalmente. Isso pode forçar os navegadores a fazer conexões fora de banda para origens controladas por atacantes por meio de diretivas como rel="preconnect", rel="preload" e rel="prerender".

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.