CVE-2026-66746
Rouille 0.4.0 - 3.6.2 HTTP प्रतिक्रिया विभाजन हेडर इंजेक्शन के माध्यम से
- प्रकाशित
- 28 जुल॰ 2026
- अद्यतन
- 29 जुल॰ 2026
- सीएनए असाइन करना
- VulnCheck
- साक्ष्य देखे गए
- 5 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 25.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Rouille 0.4.0 से 3.6.2 में एक HTTP प्रतिक्रिया विभाजन (response splitting) भेद्यता मौजूद है, जो दूरस्थ हमलावरों को हमलावर-नियंत्रित इनपुट में कैरिज रिटर्न (0x0D) या लाइन फीड (0x0A) बाइट्स एम्बेड करके मनमाने प्रतिक्रिया हेडर इंजेक्ट करने की अनुमति देती है। हमलावर प्रतिक्रिया हेडर में प्रतिबिंबित होने वाले प्रतिशत-डिकोडेड क्वेरी पैरामीटर का शोषण कर सकते हैं, या Cookie हेडर मानों में बेयर LF वर्ण इंजेक्ट कर सकते हैं, जिन्हें सीधे Set-Cookie प्रतिक्रिया हेडर में इंटरपोलेट किया जाता है, जिससे कैश पॉइज़निंग, सत्र फिक्सेशन, और सुरक्षा हेडर ओवरराइड हमले संभव होते हैं, जैसे कि CSP या CORS नीतियों को बायपास करना।
स्रोत
सुरक्षा सलाह: अमान्य प्रतिक्रिया हेडर मानों के माध्यम से HTTP प्रतिक्रिया विभाजन (rouille)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।