CVE-2026-85534

W bibliotece libsoup odkryto podatność typu use-after-free w funkcji soup_message_headers_get_content_disposition(). Umożliwia ona złośliwemu klientowi HTTP wywołanie uszkodzenia pamięci w serwerze libsoup.

W bibliotece libsoup wykryto podatność use-after-free w implementacji klienta HTTP/2. Złośliwy serwer HTTP/2 lub atakujący typu man-in-the-middle może wykorzystać tę podatność, gdy aplikacja GNOME wysyła plik przez HTTP/2, a serwer wysyła ramkę GOAWAY podczas asynchronicznego odczytu treści pliku. Może to prowadzić do uszkodzenia pamięci, wycieku informacji lub wykonania dowolnego kodu.

W bibliotece libsoup występuje podatność na atak typu „odmowa usługi” (CPU exhaustion) związana z przetwarzaniem nagłówka HTTP Range. Mimo poprawki CVE-2025-32907, scalanie wielu identycznych zakresów w pętli wykonuje operacje O(N²), co przy maksymalnym rozmiarze nagłówka (~100 KiB) pozwala na zablokowanie pętli zdarzeń serwera na około 90 ms na żądanie. Podatność jest osiągalna po stronie serwera bez uwierzytelniania.

W libsoup, w przetwarzaniu nagłówka HTTP Range w SoupServer, funkcja sort_ranges() obcina wynik odejmowania 64-bitowego do 32-bitowej liczby całkowitej, co powoduje błędne sortowanie zakresów dla plików większych niż ~2 GB. Prowadzi to do pomijania żądanych zakresów w odpowiedziach HTTP 206 Partial Content.

W bibliotece libsoup po ustanowieniu tunelu CONNECT przez proxy HTTP, nagłówek Proxy-Authorization jest nieprawidłowo dołączany do kolejnych żądań HTTPS wysyłanych przez ten tunel do serwera docelowego. Pozwala to serwerowi docelowemu na przechwycenie danych uwierzytelniających proxy.

W bibliotece libsoup parser kodowania transferu fragmentarycznego (chunked transfer encoding) używa permisywnej funkcji parsowania rozmiaru fragmentu, która akceptuje dane niezgodne z RFC 9112, w tym początkowe białe znaki, prefiksy plusa i końcowe nieprawidłowe znaki. Gdy libsoup działa za rygorystycznym proxy, ta różnica w parsowaniu może być wykorzystana do przemycania żądań HTTP.

W bibliotece libsoup niedopełnienie liczby całkowitej bez znaku w funkcji soup_filter_input_stream_read_until() powoduje odczyt poza zakresem bufora sterty podczas parsowania wieloczęściowych odpowiedzi HTTP. Złośliwy serwer HTTP może wysłać spreparowaną odpowiedź, powodując awarię aplikacji klienckiej lub ujawnienie poufnych danych z pamięci sterty.

W bibliotece libsoup odkryto wadę odczytu poza zakresem sterty. Podczas parsowania wieloczęściowych wiadomości HTTP, niezgodność typów całkowitych między wywołującym a funkcją soup_headers_parse() może spowodować nieprawidłowe obcięcie parametru długości, prowadząc do odczytu poza zakresem bufora sterty. Zdalny atakujący może wykorzystać tę wadę do spowodowania awarii aplikacji używającej libsoup lub potencjalnie ujawnić zawartość pamięci sterty.

W bibliotece libsoup odkryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci w mechanizmie przetwarzania multipart. Funkcja soup_multipart_input_stream_read_headers() nie ogranicza poprawnie rozmiaru ciągów granicznych (boundary), co może prowadzić do odczytu poza buforem. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do spowodowania odmowy usługi (DoS) lub potencjalnie odczytu fragmentów pamięci.

W bibliotece libsoup w implementacji protokołu HTTP/2 wykryto podatność polegającą na nieprawidłowym zwalnianiu bloków pamięci w określonych warunkach zakończenia strumienia, takich jak wyczerpanie okna lub jawne resetowanie strumienia. Zdalny, nieuwierzytelniony atakujący działający jako złośliwy peer sieciowy może wymusić na silniku połączeń alokację stanów strumienia, które następnie nie są zwalniane podczas czyszczenia. W dłuższym okresie prowadzi to do stopniowego wyczerpywania sterty i awarii aplikacji z powodu braku pamięci (OOM).