p PatchFirst

CVE-2026-44546

CVE-2026-44546 · Header injection via WebSocket upgrade parser differential allows ASGI scope header spoofing

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit this parser differential to inject additional headers into the ASGI scope passed to the application. daphne now rejects requests with these bytes in any header value with a 400 response.

CVSS 3.7 · Низкий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • daphne

    Версии
    • ≥ 4.2.0, ≤ 4.2.1: Затронуто (python)
    • 4.2.2: Не затронуто (python)

    Обновитесь до 4.2.2

  • python-daphne Debian:12

    Версии
    • 4.0.0-1
    • 4.1.2-1
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    • 4.2.2-0.1
    • 4.2.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Debian:13

    Версии
    • 4.1.2-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.1.2-2+deb13u1

    Обновитесь до 4.1.2-2+deb13u1

  • python-daphne Debian:14

    Версии
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.2.2-0.1

    Обновитесь до 4.2.2-0.1

  • daphne PyPI

    Версии
    • 0.10.0
    • 0.10.1
    • 0.10.2
    • 0.10.3
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.11.3
    • 0.12.0
    • 0.12.1
    • 0.12.2
    • 0.13.0
    • 0.13.1
    • 0.14.0
    • 0.14.1
    • 0.14.2
    • 0.14.3
    • 0.15.0
    • 0.8.1
    • 0.8.2
    • 0.9
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.4.0
    • 2.4.1
    • 2.5.0
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 4.0.0
    • 4.0.0b1
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.2.0
    • 4.2.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.2.2

    Обновитесь до 4.2.2

  • python-daphne Ubuntu:18.04:LTS

    Версии
    • 1.4.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:20.04:LTS

    Версии
    • 2.3.0-1
    • 2.4.0-1
    • 2.4.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:22.04:LTS

    Версии
    • 3.0.1-1
    • 3.0.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:24.04:LTS

    Версии
    • 4.0.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:25.10

    Версии
    • 4.1.2-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:26.10

    Версии
    • 4.2.1-2
    • 4.2.2-0.1
    • 4.2.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-daphne Ubuntu:26.04:LTS

    Версии
    • 4.1.2-2
    • 4.2.1-1
    • 4.2.1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →