CVE-2026-48596
LowCVSS 2.1Exploitation Probability (EPSS)
Low risk7th percentile — higher than 7% of all known CVEs
Summary
Podatność CVE-2026-48596 dotyczy niewłaściwej neutralizacji sekwencji CRLF w nagłówkach HTTP w bibliotece elixir-tesla. Umożliwia to wstrzykiwanie nagłówków HTTP poprzez funkcję Tesla.Multipart.add_content_type_param/2, która nie waliduje wprowadzonych ciągów pod kątem znaków CR ( ) lub LF ( ).
Risk Assessment
Organizacje mogą być narażone na ataki typu HTTP Request/Response Splitting, co może prowadzić do wstrzykiwania dowolnych nagłówków w wychodzących żądaniach HTTP. Aplikacje, które przekazują niezaufane dane do add_content_type_param/2, są szczególnie zagrożone.
Recommendation
Zaleca się walidację i sanitizację danych wejściowych przed ich przekazaniem do funkcji add_content_type_param/2, aby zapobiec wstrzykiwaniu nagłówków. Należy również zaktualizować bibliotekę tesla do wersji 1.18.3 lub nowszej.
Original NVD description (English source)
Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Request/Response Splitting') vulnerability in elixir-tesla tesla allows HTTP header injection via Tesla.Multipart.add_content_type_param/2. Tesla.Multipart.add_content_type_param/2 appends caller-supplied strings to the multipart content_type_params list without validating for CR (\r) or LF (\n) characters. Tesla.Multipart.headers/1 then joins these params verbatim with "; " to construct the outgoing Content-Type header value. A param containing \r\n splits the header line, allowing arbitrary headers to be injected into the outbound HTTP request. Any application that forwards untrusted input (such as a user-supplied charset or parameter string) into add_content_type_param/2 is affected. This issue affects tesla: from 0.8.0 before 1.18.3.