Veille sécuritéBackend & données
P4Moyenne
Twisted accepte des retours chariot ou sauts de ligne isolés dans les valeurs d’en-tête HTTP, ce qui peut faire interpréter différemment une requête par Twisted et un frontal permissif. Cette divergence peut permettre le contournement de contrôles ou l’empoisonnement d’une connexion ; mettre à jour vers 26.10.0rc1 ou une version ultérieure.
Python
IdentifiantCVE-2026-115877
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif26.10.0rc1
Analyse technique
Le parseur rejette les octets NUL, mais pas les CR ou LF isolés dans une valeur d’en-tête. L’exploitation dépend notamment d’un frontal qui traite ces caractères comme des séparateurs de ligne.
Impact, versions et correctif
Événement datéLa fiche NVD et l’avis GitHub associé sont datés du 2026-10-23 ; la publication de l’avis confirme la divulgation de cette vulnérabilité durant la période.
ImpactSelon la configuration du frontal, un attaquant peut contourner des contrôles d’accès, empoisonner une connexion ou un cache, ou exposer un autre client à une réponse incorrecte.
Versions affectéesTwisted 26.4.0 et versions antérieures ; corrigé en 26.10.0rc1
Version corrigée26.10.0rc1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-23T21:17:23.643Z
Mise à jour2026-10-23T21:17:23.643Z
Action recommandée
Mettre à jour Twisted vers 26.10.0rc1 ou une version ultérieure ; vérifier également le traitement des en-têtes par les frontaux HTTP.
Sources
Priorisation DFS : P4 · 2 source(s).