CVE-2025-23167: Chyba v parseru HTTP v Node.js 20 umožňuje request smuggling

Zranitelnosti v Tenable Enclave Security

Podle CERT-FR v produktu Tenable Enclave Security existuje více zranitelností, které umožňují útočníkovi způsobit neurčený bezpečnostní problém.

EPSS 0.87 a dalších 4 CVE-2024-22017 CVE-2024-22019 CVE-2024-27980 CVE-2024-27983 CVE-2024-36138 CVE-2025-23166 CVE-2025-23167 CVE-2025-27210 CVE-2025-55130 CVE-2025-55131 CVE-2025-55132 CVE-2025-59465 CVE-2025-59466 CVE-2026-21637 CVE-2026-27140 CVE-2026-27143 CVE-2026-39822 Tenable FR

tg: zranitelnost

28. 8. 2026 · zachyceno 15:00 · CERT-FR – avis · Multiples vulnérabilités dans Tenable Enclave Security (28 août 2026)

Shrnutí generováno strojově za 0,0010 USD

Chyba v parseru HTTP v Node.js 20 umožňuje request smuggling

Zdroj uvádí, že zranitelnost CVE-2025-23167 v HTTP parseru Node.js 20 umožňuje útočníkům obejít proxy-based access controls prostřednictvím nesprávné terminace HTTP/1 headerů. Microsoft oznámil, že problém byl vyřešen upgradem knihovny llhttp na verzi 9.

EPSS 0.01 CVE-2025-23167 Node.js US

4. 9. 2025 · Microsoft Security · CVE-2025-23167 A flaw in Node.js 20's HTTP parser allows improper termination of HTTP/1 headers using `\r\n\rX` instead of the required `\r\n\r\n`. This inconsistency enables request smuggling, allowing attackers to bypass proxy-based access controls and submit unauthorized requests. The issue was resolved by upgrading `llhttp` to version 9, which enforces correct header termination. Impact: * This vulnerability affects only Node.js 20.x users prior to the `llhttp` v9 upgrade.

Shrnutí generováno strojově za 0,0026 USD