Twisted twisted.web 曝 HTTP 请求走私漏洞

GitHub 安全公告库披露 Twisted 的 twisted.web.http.HTTPChannel 存在 HTTP 请求走私漏洞（CWE-444）：头部值校验不完整，只拒绝 NUL 字节，不拒绝裸回车符（CR）或换行符（LF），攻击者可在头部值中隐藏后续头部，使解析器看不到。26.4.0 及更早版本受影响。 公告称，该漏洞只有在 Twisted 部署于按无请求体方式界定请求的严格代理之后时才会被触发，且不涉及代码执行。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。