CVE-2026-1527
MediumSummary
Podatność CVE-2026-1527 pozwala atakującemu na wstrzyknięcie sekwencji CRLF ( ) poprzez kontrolowany przez użytkownika input w opcji upgrade metody client.request(). Może to prowadzić do wstrzykiwania dowolnych nagłówków HTTP oraz przedwczesnego zakończenia żądania HTTP, co umożliwia przesyłanie surowych danych do usług nie-HTTP, takich jak Redis, Memcached czy Elasticsearch.
Risk Assessment
Organizacja może być narażona na ataki, które pozwalają na manipulację nagłówkami HTTP oraz nieautoryzowany dostęp do usług backendowych, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Recommendation
Zaleca się walidację i sanitizację wszelkiego inputu użytkownika przed jego użyciem w metodzie client.request(), aby zapobiec wstrzykiwaniu sekwencji CRLF oraz innym potencjalnym atakom.
Original NVD description (English source)
ImpactWhen an application passes user-controlled input to the upgrade option of client.request(), an attacker can inject CRLF sequences (\r\n) to: * Inject arbitrary HTTP headers * Terminate the HTTP request prematurely and smuggle raw data to non-HTTP services (Redis, Memcached, Elasticsearc