CVE-2026-66753

MittelVeröffentlicht

tiny-http 0.12.0 HTTP-Response-Splitting durch Header-Injection

Veröffentlicht: 28.07.2026
Aktualisiert: 14.08.2026
CNA zuweisen: VulnCheck
Beweise beobachtet: 05.08.2026

Primäres CVSS

6,3/ 10Mittel

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS-Wahrscheinlichkeitsschätzung

0,2 %

Niedrig · nächste 30 Tage

Perzentil: 12,5 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

# tiny-http bis 0.12.0 enthält eine HTTP-Header-Injection-Schwachstelle tiny-http bis einschließlich Version 0.12.0 enthält eine Schwachstelle zur HTTP-Header-Injection, die es Angreifern ermöglicht, Wagenrücklauf- (0x0D) und Zeilenvorschub-Bytes (0x0A) in HTTP-Headerwerte sowohl auf der Anfrage- als auch auf der Antwortseite einzuschleusen. Ursache ist eine unzureichende Validierung bei der Header-Analyse und -Serialisierung. Angreifer können diese Injection-Primitive ausnutzen, um Response Splitting, Cache-Poisoning, Session Fixation mittels Set-Cookie-Injection, das Überschreiben von Sicherheits-Headern sowie Request Smuggling gegen zeilenvorschubtolerante Backends durchzuführen.

Quellen

CVE-2026-66753-HTTP-Header-Injection-via-Unvalidated-CR-and-LF-in-Header-Values-tiny_http-Forschung
Sicherheitshinweis: HTTP-Header-Injection über nicht validierte CR- und LF-Zeichen in Header-Werten (tiny_http)

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.