p PatchFirst

CVE-2026-44546

CVE-2026-44546 · Header injection via WebSocket upgrade parser differential allows ASGI scope header spoofing

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit this parser differential to inject additional headers into the ASGI scope passed to the application. daphne now rejects requests with these bytes in any header value with a 400 response.

CVSS 3.7 · Niedrig · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • daphne

    Softwareversionen
    • ≥ 4.2.0, ≤ 4.2.1: Betroffen (python)
    • 4.2.2: Nicht betroffen (python)

    Auf 4.2.2 aktualisieren

  • python-daphne Debian:12

    Softwareversionen
    • 4.0.0-1
    • 4.1.2-1
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    • 4.2.2-0.1
    • 4.2.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Debian:13

    Softwareversionen
    • 4.1.2-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.1.2-2+deb13u1

    Auf 4.1.2-2+deb13u1 aktualisieren

  • python-daphne Debian:14

    Softwareversionen
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.2.2-0.1

    Auf 4.2.2-0.1 aktualisieren

  • daphne PyPI

    Softwareversionen
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.10.3
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.11.3
    • 0.12.0
    • 0.12.1
    • 0.12.2
    • 0.13.0
    • 0.13.1
    • 0.14.0
    • 0.14.1
    • 0.14.2
    • 0.14.3
    • 0.15.0
    • 0.8.1
    • 0.8.2
    • 0.9
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.4.0
    • 2.4.1
    • 2.5.0
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 4.0.0
    • 4.0.0b1
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.2.0
    • 4.2.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.2.2

    Auf 4.2.2 aktualisieren

  • python-daphne Ubuntu:18.04:LTS

    Softwareversionen
    • 1.4.2-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:20.04:LTS

    Softwareversionen
    • 2.3.0-1
    • 2.4.0-1
    • 2.4.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:22.04:LTS

    Softwareversionen
    • 3.0.1-1
    • 3.0.2-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:24.04:LTS

    Softwareversionen
    • 4.0.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:25.10

    Softwareversionen
    • 4.1.2-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:26.10

    Softwareversionen
    • 4.2.1-2
    • 4.2.2-0.1
    • 4.2.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • python-daphne Ubuntu:26.04:LTS

    Softwareversionen
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →