p PatchFirst

CVE-2026-115877

CVE-2026-115877 · Twisted: HTTP Request Smuggling in twisted.web via a Bare CR or LF in a Header Value

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.10.0rc1, twisted.web.http.HTTPChannel.headerReceived rejects a NUL byte in an HTTP header value but accepts a bare carriage return or bare line feed. Because Twisted splits header lines only on CRLF, a hidden Content-Length header can remain folded into another value while a lenient front end treats the bare character as a line terminator. The resulting framing disagreement can smuggle a following request past front-end access controls, poison a shared connection or cache, and expose a later client to the wrong response. This issue is an incomplete-fix residual of earlier Twisted request-smuggling protections. This issue is fixed in version 26.10.0rc1.

CVSS 5.4 · Mittel · EPSS 0,3% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • twisted

    Softwareversionen
    • < 26.10.0rc1: Betroffen

    Keine Korrektur veröffentlicht

  • twisted Debian:12

    Softwareversionen
    • 22.4.0-4
    • 22.4.0-4+deb12u1
    • 23.10.0-1
    • 23.10.0-2
    • 24.10.0-1
    • 24.10.0-2
    • 24.11.0-1
    • 24.3.0-1
    • 24.3.0-2
    • 24.3.0-3
    • 24.7.0-1
    • 24.7.0-2
    • 24.7.0-3
    • 25.5.0-1
    • 25.5.0-2
    • 25.5.0-3
    • 25.5.0-4
    • 25.5.0-5
    • 26.4.0-1
    • 26.4.0-2
    • 26.4.0-3
    • 26.4.0-4
    • 26.4.0-5
    • 26.4.0-6
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Debian:13

    Softwareversionen
    • 24.11.0-1
    • 25.5.0-1
    • 25.5.0-2
    • 25.5.0-3
    • 25.5.0-4
    • 25.5.0-5
    • 26.4.0-1
    • 26.4.0-2
    • 26.4.0-3
    • 26.4.0-4
    • 26.4.0-5
    • 26.4.0-6
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Debian:14

    Softwareversionen
    • 24.11.0-1
    • 25.5.0-1
    • 25.5.0-2
    • 25.5.0-3
    • 25.5.0-4
    • 25.5.0-5
    • 26.4.0-1
    • 26.4.0-2
    • 26.4.0-3
    • 26.4.0-4
    • 26.4.0-5
    • 26.4.0-6
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted PyPI

    Softwareversionen
    • 1.0.1
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.0.7
    • 1.1.0
    • 1.1.1
    • 1.2.0
    • 10.0.0
    • 10.1.0
    • 10.2.0
    • 11.0.0
    • 11.1.0
    • 12.0.0
    • 12.1.0
    • 12.2.0
    • 12.3.0
    • 13.0.0
    • 13.1.0
    • 13.2.0
    • 14.0.0
    • 14.0.1
    • 14.0.2
    • 15.0.0
    • 15.1.0
    • 15.2.0
    • 15.2.1
    • 15.3.0
    • 15.4.0
    • 15.5.0
    • 16.0.0
    • 16.1.0
    • 16.1.1
    • 16.2.0
    • 16.3.0
    • 16.3.1
    • 16.3.2
    • 16.4.0
    • 16.4.1
    • 16.5.0
    • 16.5.0rc1
    • 16.5.0rc2
    • 16.6.0
    • 16.6.0rc1
    • 16.7.0rc1
    • 16.7.0rc2
    • 17.1.0
    • 17.1.0rc1
    • 17.5.0
    • 17.9.0
    • 17.9.0rc1
    • 18.4.0
    • 18.4.0rc1
    • 18.7.0
    • 18.7.0rc1
    • 18.7.0rc2
    • 18.9.0
    • 18.9.0rc1
    • 19.10.0
    • 19.10.0rc1
    • 19.2.0
    • 19.2.0rc1
    • 19.2.0rc2
    • 19.2.1
    • 19.7.0
    • 19.7.0rc1
    • 2.1.0
    • 2.4.0
    • 2.5.0
    • 20.3.0
    • 20.3.0rc1
    • 21.2.0
    • 21.2.0rc1
    • 21.7.0
    • 21.7.0rc1
    • 21.7.0rc2
    • 21.7.0rc3
    • 22.1.0
    • 22.1.0rc1
    • 22.10.0
    • 22.10.0rc1
    • 22.2.0
    • 22.2.0rc1
    • 22.4.0
    • 22.4.0rc1
    • 22.8.0
    • 22.8.0rc1
    • 23.10.0
    • 23.10.0rc1
    • 23.8.0
    • 23.8.0rc1
    • 24.10.0
    • 24.10.0rc1
    • 24.11.0
    • 24.11.0rc1
    • 24.11.0rc2
    • 24.2.0rc1
    • 24.3.0
    • 24.7.0
    • 24.7.0rc1
    • 24.7.0rc2
    • 25.5.0
    • 25.5.0rc1
    • 26.4.0
    • 26.4.0rc2
    • 8.0.0
    • 8.0.1
    • 8.1.0
    • 8.2.0
    • 9.0.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 26.10.0rc1

    Auf 26.10.0rc1 aktualisieren

  • twisted Ubuntu:Pro:14.04:LTS

    Softwareversionen
    • 13.0.0-1ubuntu1
    • 13.2.0-1ubuntu1
    • 13.2.0-1ubuntu1.2
    • 13.2.0-1ubuntu1.2+esm1
    • 13.2.0-1ubuntu1.2+esm2
    • 13.2.0-1ubuntu1.2+esm3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 15.2.1-1ubuntu2
    • 15.5.0-1
    • 15.5.0-2
    • 15.5.0-2ubuntu1
    • 15.5.0-4
    • 16.0.0~pre1-1
    • 16.0.0~pre1-1ubuntu1
    • 16.0.0~pre1-2ubuntu1
    • 16.0.0~pre1-3
    • 16.0.0-1
    • 16.0.0-1ubuntu0.2
    • 16.0.0-1ubuntu0.4
    • 16.0.0-1ubuntu0.4+esm1
    • 16.0.0-1ubuntu0.4+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 16.6.0-2ubuntu3
    • 17.9.0-1
    • 17.9.0-2
    • 17.9.0-2ubuntu0.1
    • 17.9.0-2ubuntu0.3
    • 17.9.0-2ubuntu0.3+esm1
    • 17.9.0-2ubuntu0.3+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:20.04:LTS

    Softwareversionen
    • 18.9.0-3ubuntu1
    • 18.9.0-5
    • 18.9.0-6
    • 18.9.0-6build1
    • 18.9.0-6ubuntu1
    • 18.9.0-8
    • 18.9.0-11
    • 18.9.0-11ubuntu0.20.04.1
    • 18.9.0-11ubuntu0.20.04.2
    • 18.9.0-11ubuntu0.20.04.3
    • 18.9.0-11ubuntu0.20.04.4
    • 18.9.0-11ubuntu0.20.04.5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:22.04:LTS

    Softwareversionen
    • 20.3.0-7ubuntu1
    • 20.3.0-7ubuntu3
    • 22.1.0-2ubuntu2
    • 22.1.0-2ubuntu2.1
    • 22.1.0-2ubuntu2.3
    • 22.1.0-2ubuntu2.4
    • 22.1.0-2ubuntu2.5
    • 22.1.0-2ubuntu2.6
    • 22.1.0-2ubuntu2.7
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:24.04:LTS

    Softwareversionen
    • 22.4.0-4
    • 22.4.0-4ubuntu1
    • 23.10.0-2
    • 24.3.0-1
    • 24.3.0-1ubuntu0.1
    • 24.3.0-1ubuntu0.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:26.10

    Softwareversionen
    • 25.5.0-5
    • 26.4.0-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • twisted Ubuntu:26.04:LTS

    Softwareversionen
    • 24.11.0-1
    • 25.5.0-4
    • 25.5.0-5
    • 25.5.0-5ubuntu0.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →