CVE-2026-7010

ŚrednieCVSS 6.5

Opublikowano: 11/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Biblioteka HTTP::Tiny w wersjach przed 0.093 dla Perla nie waliduje znaków CRLF w linii żądania HTTP ani w wartościach nagłówków pól kontrolnych. Niezwalidowane dane wejściowe obejmują metodę i URI w linii żądania, host URL trafiający do nagłówka Host oraz wartości pól kontrolnych HTTP/1.1. Atakujący kontrolujący jedno z tych wejść, np. URL podany przez użytkownika przekazywany do webhooka lub endpointu pobierania URL, może wstrzyknąć dodatkowe nagłówki i przemycić żądania do serwera nadrzędnego.

Ocena ryzyka

Podatność pozwala na wstrzykiwanie nagłówków i przemycanie żądań (request smuggling), co może prowadzić do obejścia kontroli bezpieczeństwa, zatrucia pamięci podręcznej lub nieautoryzowanego dostępu do zasobów wewnętrznych. Szczególnie istotne dla aplikacji przyjmujących URL-e od użytkowników i wykonujących żądania wychodzące.

Rekomendacja

Zaktualizuj bibliotekę HTTP::Tiny do wersji 0.093 lub nowszej. Dodatkowo waliduj i sanityzuj wszelkie dane wejściowe użytkownika używane do budowy żądań HTTP.

Inne podatności w HTTP::Tiny

CVE-2026-7017Wysokie
Podatność w bibliotece HTTP::Tiny dla Perla przed wersją 0.095 powoduje, że nagłówki uwierzytelniające (Authorization, Cookie, Proxy-Authorization) są przekazywane do przekierowań między różnymi źródłami. Mechanizm przekierowań nie weryfikuje, czy cel przekierowania należy do tego samego źródła co oryginalny URL, co umożliwia wyciek wrażliwych danych.

Oryginalny opis (angielski, źródło NVD)

HTTP::Tiny versions before 0.093 for Perl do not validate CRLF in HTTP request lines or control field header values. The unvalidated inputs are the method and URI in the request line, the URL host that becomes the `Host:` header, and HTTP/1.1 control data field values. An attacker who controls one of these inputs, for example a user supplied URL passed to a webhook or URL fetch endpoint, can inject additional headers and smuggle requests to the upstream server.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS