CVE-2021-22959

Опубликовано: 15 нояб. 2021

Источник: nvd

CVSS3: 6.5

CVSS2: 6.4

EPSS Низкий

Описание

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

Ссылки

https://hackerone.com/reports/1238709
Exploit
Issue Tracking
Third Party Advisory
https://www.debian.org/security/2022/dsa-5170
Mailing List
Third Party Advisory
https://www.oracle.com/security-alerts/cpujan2022.html
Patch
Third Party Advisory
https://hackerone.com/reports/1238709
Exploit
Issue Tracking
Third Party Advisory
https://www.debian.org/security/2022/dsa-5170
Mailing List
Third Party Advisory
https://www.oracle.com/security-alerts/cpujan2022.html
Patch
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия до 2.1.4 (исключая)

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия от 3.0.0 (включая) до 6.0.6 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:oracle:graalvm:20.3.4:*:*:*:enterprise:*:*:*

cpe:2.3:a:oracle:graalvm:21.3.0:*:*:*:enterprise:*:*:*

Конфигурация 3

cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*

EPSS

Процентиль: 44%

0.00217

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Дефекты

CWE-444

Связанные уязвимости

CVE-2021-22959

CVSS3: 6.5

ubuntu

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

CVE-2021-22959

CVSS3: 6.1

redhat

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

CVE-2021-22959

CVSS3: 6.5

debian

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the heade ...

GHSA-mhxq-vjjq-pcvf

CVSS3: 6.5

github

около 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

BDU:2021-04995

CVSS3: 9.8

fstec

больше 3 лет назад

Уязвимость компонента LLHTTP программного средства работы с объектами NodeJS, позволяющая нарушителю повысить свои привилегии

EPSS

Процентиль: 44%

0.00217

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Дефекты

CWE-444