CVE-2026-82672

Nome do Software Vulnerável e Versões Afetadas mint versões 0.1.0 até 1.10.0

Description Uma interpretação inconsistente de requisições HTTP, conhecida como HTTP Request/Response Smuggling, permite que um servidor HTTP/1 malicioso dessincronize um intermediário rigoroso e o cliente Mint em uma conexão agrupada. Isso pode levar ao envenenamento da fila de respostas, onde bytes de uma resposta são atribuídos a requisições subsequentes que compartilham a mesma conexão.

O problema ocorre porque a função chunk size/1 em Mint.HTTP1.Parse para no primeiro byte não hexadecimal da linha de tamanho do chunk de uma resposta fragmentada e retorna o restante sem exame. Subsequentemente, a função decode body/5 em Mint.HTTP1 descarta todos os bytes até o CRLF usando Parse.ignore until crlf/1. Isso resulta na aceitação de dígitos hexadecimais seguidos por bytes arbitrários, enquanto a RFC 9112 permite apenas extensões de chunk introduzidas por um ;. Consequentemente, um intermediário rigoroso em relação à RFC pode rejeitar uma linha que o Mint aceita, causando uma divergência sobre os limites do chunk e o fim do corpo da resposta.

Recommendations Atualize o mint para a versão 1.10.1 ou posterior.