CVE-2026-54388
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 — wyżej niż 30% wszystkich znanych CVE
Streszczenie
Tinyproxy w wersjach do 1.11.3 nie odrzuca żądań zawierających wiele nagłówków Content-Length z różnymi wartościami, co prowadzi do przesyłania wszystkich duplikatów nagłówków do backendu. Atakujący mogą wykorzystać tę lukę do wstrzykiwania dowolnych żądań HTTP do backendu.
Ocena ryzyka
Luka ta może prowadzić do zanieczyszczenia pamięci podręcznej, obejścia kontroli dostępu oraz przejęcia żądań, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację Tinyproxy do wersji 1.11.4 lub nowszej, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
Tinyproxy through 1.11.3, fixed in commit 364cdb6, fails to reject requests containing multiple Content-Length headers with differing values, forwarding all duplicate headers to the backend while using the first value to determine how many request body bytes to consume. Remote attackers can desynchronize the proxy and backend parser state, allowing injection of arbitrary HTTP requests to the backend to enable cache poisoning, access control bypass, and request hijacking.