6.5
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
HTTP::Tiny versions before 0.093 for Perl do not validate CRLF in HTTP request lines or control field header values. The unvalidated inputs are the method and URI in the request line, the URL host that becomes the `Host:` header, and HTTP/1.1 control data field values. An attacker who controls one of these inputs, for example a user supplied URL passed to a webhook or URL fetch endpoint, can inject additional headers and smuggle requests to the upstream server.
Засегнати продукти
- HAARG HTTP::Tiny: преди 0.093
Вид слабост
История
- 11 май 2026 Публикувано
Други уязвимости в HAARG HTTP::Tiny
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-7010
- https://nvd.nist.gov/vuln/detail/CVE-2026-7010
- https://github.com/Perl-Toolchain-Gang/HTTP-Tiny/commit/d73c7651e82ace02693842df55928b6c3ae7c38d.patch
- https://metacpan.org/release/HAARG/HTTP-Tiny-0.093-TRIAL/changes
- http://www.openwall.com/lists/oss-security/2026/05/11/17