CVE-2026-44546
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Daphne przed wersją 4.2.2 rekonstruuje surowe żądanie HTTP z przetworzonych nagłówków Twisted i przekazuje je do autobahn w celu obsługi uzgadniania WebSocket. Twisted nie traktuje znaków \x0b, \x0c, \x1c, \x1d, \x1e ani \x85 jako separatorów linii nagłówka, ale autobahn dekoduje wartości nagłówków do str i wywołuje splitlines(). Atakujący może wykorzystać tę różnicę w parserach do wstrzyknięcia dodatkowych nagłówków do zakresu ASGI przekazywanego do aplikacji. Daphne odrzuca teraz żądania z tymi bajtami w dowolnej wartości nagłówka z odpowiedzią 400.
Ocena ryzyka
Atakujący może wstrzyknąć dodatkowe nagłówki HTTP, co może prowadzić do manipulacji sesją lub obejścia zabezpieczeń aplikacji.
Rekomendacja
Zaleca się aktualizację Daphne do wersji 4.2.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit this parser differential to inject additional headers into the ASGI scope passed to the application. daphne now rejects requests with these bytes in any header value with a 400 response.