GitHub 安全公告库 (GHSA)·· 4 小时前精选AI 评分58
Twisted twisted.web 因头部值中的裸 CR/LF 存在 HTTP 请求走私漏洞
Twisted: HTTP Request Smuggling in twisted.web via a Bare CR or LF in a Header Value
AI 导读
GitHub 安全公告披露 Twisted 的 twisted.web.http.HTTPChannel 头部值校验不完整（CWE-444），只拒绝 NUL 字节而不拒绝裸 CR 或 LF，26.4.0 及更早版本受影响。
为什么值得看
通告指出 Twisted 只拦 NUL 未拦裸 CR/LF，并给出可复现的请求走私 PoC 与受影响版本区间。
来源：GitHub 安全公告库 (GHSA) · github.com