CVE-2026-105660

Luka w zabezpieczeniach programu mtrudel bandit dotycząca nieprawidłowej weryfikacji poprawności składniowej danych wejściowych umożliwia nieuwierzytelnionemu zdalnemu atakującemu ustawienie conn.host i conn.port na wartości wykraczające poza gramatykę hosta zgodną z RFC 3986 za pośrednictwem autorytetu żądania docelowego w formie bezwzględnej lub w formie autorytetu HTTP/1. Bandit sprawdza nagłówek hosta i odpowiada 400, gdy jest on zniekształcony, ale gdy cel żądania ma własne uprawnienia, uprawnienia te mają pierwszeństwo, zgodnie z wymaganiami RFC 9112, a Bandit.Pipeline.determine_host_and_port!/4 w lib/bandit/pipeline.ex przekazuje je do aplikacji niezaznaczone. Linia żądania, taka jak GET http://[email protected]/x HTTP/1.1 z prawidłowym nagłówkiem Host, daje conn.host o wartości [email protected], a ta sama ścieżka dopuszcza bajty NUL, DEL i inne niż ASCII, nieprawidłowe literały IP i porty poza 1..65535. Klauzula HTTP/1.0 w ogóle nie wymaga nagłówka Host, a CONNECT umieszcza nieprzeanalizowany ciąg portu w conn.port.

Aplikacje tworzące bezwzględne adresy URL z pliku conn.host, na przykład za pośrednictwem pomocników URL Plug.Conn.request_url/1 lub Phoenix, emitują łącza, których uprawnienia wybrał atakujący. Ramkowanie wiadomości pozostaje niezmienione i żaden CR ani LF nie może dotrzeć do conn.host.

Ten problem dotyczy bandita: od 0.6.0 do 1.13.0.