SwiftNIO HTTP/2 nie walidował poprawnie przychodzących ramek HEADERS, co pozwalało znakom CR, LF, NUL, SP i innym znakom kontrolnym dotrzeć do backendu HTTP/1.1 poprzez kodek HTTP/2-to-HTTP/1 NIOHTTP2, umożliwiając HTTP request smuggling lub response splitting. Luka zostały naprawione w wersji 1.45.0 swift-nio-http2.
▸ Pokaż oryginał (EN)
SwiftNIO HTTP/2 was missing validation on inbound HEADERS frames that let CR, LF, NUL, SP and other control characters reach an HTTP/1.1 backend through NIOHTTP2's HTTP/2-to-HTTP/1 codec, enabling HTTP request smuggling or response splitting. This vulnerability is addressed in swift-nio-http2 version 1.45.0.
CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE