CVE-2026-66754
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Rouille w wersjach 0.1.6 do 3.6.2 zawiera podatność na osiągalne asercje w funkcji Request::remove_prefix, która pozwala zdalnym, nieuwierzytelnionym atakującym na awarię serwera poprzez wysłanie spreparowanego adresu URL z kodowaniem procentowym.
Ocena ryzyka
Atakujący może spowodować awarię serwera (DoS) bez uwierzytelnienia, co prowadzi do przerwania działania usługi i potencjalnej utraty dostępności.
Rekomendacja
Zaktualizuj bibliotekę Rouille do wersji 3.6.3 lub nowszej, która naprawia tę podatność, lub zastosuj obejście polegające na walidacji adresów URL przed ich przetworzeniem.
Inne podatności w Rouille
Zobacz wszystkie- CVE-2026-67182Wysokie
Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling), która pozwala zdalnym atakującym na ominięcie kontroli dostępu poprzez wstrzyknięcie gołych znaków nowej linii (0x0A) do wartości nagłówków żądań dostarczanych przez klienta. Wartości te są kopiowane dosłownie do połączeń nadrzędnych bez walidacji. Atakujący może spreparować nagłówek zawierający dodatkowe żądanie HTTP, które jest interpretowane jako osobne żądanie przez backendy (np. Go net/http, Python http.server), omijając logikę kontroli dostępu Rouille.
- CVE-2026-67181Średnie
Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling). Implementacja proxy w src/proxy.rs przekazuje nagłówek Transfer-Encoding klienta do backendu bez zmian, podczas gdy ciało jest już odkodowane przez tiny_http, co umożliwia ataki desynchronizacji CL.TE.
- CVE-2026-66746Średnie
Rouille w wersjach 0.4.0 do 3.6.2 zawiera podatność na dzielenie odpowiedzi HTTP (HTTP response splitting), która pozwala zdalnym atakującym na wstrzyknięcie dowolnych nagłówków odpowiedzi poprzez osadzenie bajtów powrotu karetki (0x0D) lub nowej linii (0x0A) w danych wejściowych kontrolowanych przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Rouille 0.1.6 through 3.6.2 contains a reachable assertion vulnerability in the Request::remove_prefix function that allows remote unauthenticated attackers to crash the server by sending a crafted percent-encoded URL. Attackers can send a request whose decoded path matches a configured prefix while the raw percent-encoded path does not, causing the assert! to fail and triggering either a 500 error or full process termination depending on the panic configuration.