CVE-2026-73812

Nome do Software Vulnerável e Versões Afetadas OTP versões 17.0 até 27.3.4.16 OTP versões 28.0 até 28.5.0.5 OTP versões 29.0 até 29.0.5 inets versões 5.10 até 9.3.2.6 inets versões 9.4 até 9.6.2.2 inets versões 9.7 até 9.7.1

Description A função check header/3 no httpd não verifica a presença simultânea dos cabeçalhos Transfer-Encoding (TE) e Content-Length (CL), condição identificada pela RFC 9112 §6.3 como uma provável tentativa de request smuggling. Além disso, a função handle body/3 processa requisições como chunked e descarta silenciosamente o cabeçalho Content-Length. Esse comportamento pode levar a uma dessincronização CL.TE entre front-end e back-end quando um front-end que prefere Content-Length é pareado com um back-end inets que prefere codificação chunked.

Recommendations Atualize o OTP para a versão 27.3.4.17 ou posterior. Atualize o OTP para a versão 28.5.0.6 ou posterior. Atualize o OTP para a versão 29.0.6 ou posterior. Atualize o inets para a versão 9.3.2.7 ou posterior. Atualize o inets para a versão 9.6.2.3 ou posterior. Atualize o inets para a versão 9.7.2 ou posterior.