CVE-2026-1527

Średnie

Opublikowano: —Przetłumaczono: 29/05/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2026-1527 pozwala atakującemu na wstrzyknięcie sekwencji CRLF ( ) poprzez kontrolowany przez użytkownika input w opcji upgrade metody client.request(). Może to prowadzić do wstrzykiwania dowolnych nagłówków HTTP oraz przedwczesnego zakończenia żądania HTTP, co umożliwia przesyłanie surowych danych do usług nie-HTTP, takich jak Redis, Memcached czy Elasticsearch.

Ocena ryzyka

Organizacja może być narażona na ataki, które pozwalają na manipulację nagłówkami HTTP oraz nieautoryzowany dostęp do usług backendowych, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.

Rekomendacja

Zaleca się walidację i sanitizację wszelkiego inputu użytkownika przed jego użyciem w metodzie client.request(), aby zapobiec wstrzykiwaniu sekwencji CRLF oraz innym potencjalnym atakom.

Oryginalny opis (angielski, źródło NVD)

ImpactWhen an application passes user-controlled input to the upgrade option of client.request(), an attacker can inject CRLF sequences (\r\n) to: * Inject arbitrary HTTP headers * Terminate the HTTP request prematurely and smuggle raw data to non-HTTP services (Redis, Memcached, Elasticsearc