CVE-2026-66752

सारांश

# tiny-http 0.12.0 तक HTTP अनुरोध तस्करी भेद्यता tiny-http 0.12.0 तक में एक HTTP अनुरोध तस्करी भेद्यता मौजूद है जो दूरस्थ हमलावरों को Transfer-Encoding हेडर को किसी भी मान के साथ भेजकर अनुरोध फ्रेमिंग को असंक्रमित (desynchronize) करने की अनुमति देती है, जिसमें गैर-चंक्ड कोडिंग भी शामिल हैं। यह लाइब्रेरी को बिना शर्त चंक-डिकोडिंग लागू करने और Content-Length को त्यागने के लिए मजबूर करता है। हमलावर tiny_http के अनुचित Transfer-Encoding पार्सिंग और सही ढंग से कार्यान्वित फ्रंट-एंड प्रॉक्सी के बीच विसंगति का फायदा उठाकर एकल बाइट स्ट्रीम की दो अलग-अलग व्याख्याएं उत्पन्न कर सकते हैं, जिससे अनुरोध तस्करी संभव होती है। इसके अतिरिक्त, वे गैर-चंक्ड Transfer-Encoding मानों के साथ गैर-चंक्ड बॉडी भेज सकते हैं, जिससे बॉडी रीड विफल हो जाती हैं, कनेक्शन व्यस्त रहते हैं और वर्कर थ्रेड्स का उपभोग होता है, बिना क्लाइंट को कोई त्रुटि संकेत दिए।

• CVE-2026-66752-HTTP-Request-Smuggling-via-Unparsed-Transfer-Encoding-Values-tiny_http-PoC

  सुरक्षा सलाह: अनपार्स्ड ट्रांसफर-एन्कोडिंग मानों के माध्यम से HTTP रिक्वेस्ट स्मगलिंग (tiny_http)