CVE-2026-66746
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Rouille w wersjach 0.4.0 do 3.6.2 zawiera podatność na dzielenie odpowiedzi HTTP (HTTP response splitting), która pozwala zdalnym atakującym na wstrzyknięcie dowolnych nagłówków odpowiedzi poprzez osadzenie bajtów powrotu karetki (0x0D) lub nowej linii (0x0A) w danych wejściowych kontrolowanych przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do zatrucia pamięci podręcznej, fiksacji sesji lub ominięcia polityk bezpieczeństwa, takich jak CSP czy CORS, co prowadzi do naruszenia integralności i poufności danych.
Rekomendacja
Zaktualizuj bibliotekę Rouille do wersji 3.6.3 lub nowszej, która naprawia tę podatność, lub zastosuj obejście polegające na sanityzacji danych wejściowych przed ich użyciem w nagłówkach odpowiedzi.
Inne podatności w Rouille
Zobacz wszystkie- CVE-2026-67182Wysokie
Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling), która pozwala zdalnym atakującym na ominięcie kontroli dostępu poprzez wstrzyknięcie gołych znaków nowej linii (0x0A) do wartości nagłówków żądań dostarczanych przez klienta. Wartości te są kopiowane dosłownie do połączeń nadrzędnych bez walidacji. Atakujący może spreparować nagłówek zawierający dodatkowe żądanie HTTP, które jest interpretowane jako osobne żądanie przez backendy (np. Go net/http, Python http.server), omijając logikę kontroli dostępu Rouille.
- CVE-2026-67181Średnie
Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling). Implementacja proxy w src/proxy.rs przekazuje nagłówek Transfer-Encoding klienta do backendu bez zmian, podczas gdy ciało jest już odkodowane przez tiny_http, co umożliwia ataki desynchronizacji CL.TE.
- CVE-2026-66754Średnie
Rouille w wersjach 0.1.6 do 3.6.2 zawiera podatność na osiągalne asercje w funkcji Request::remove_prefix, która pozwala zdalnym, nieuwierzytelnionym atakującym na awarię serwera poprzez wysłanie spreparowanego adresu URL z kodowaniem procentowym.
Oryginalny opis (angielski, źródło NVD)
Rouille 0.4.0 through 3.6.2 contains an HTTP response splitting vulnerability that allows remote attackers to inject arbitrary response headers by embedding carriage return (0x0D) or line feed (0x0A) bytes into attacker-controlled input. Attackers can exploit percent-decoded query parameters reflected into response headers or inject bare LF characters into Cookie header values that are interpolated directly into Set-Cookie response headers, enabling cache poisoning, session fixation, and security header override attacks such as bypassing CSP or CORS policies.