目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CWE-444 HTTP请求的解释不一致性(HTTP请求私运) 类漏洞列表 196

CWE-444 HTTP请求的解释不一致性(HTTP请求私运) 类弱点 196 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-444指HTTP请求/响应走私漏洞，属于中间件解释不一致型缺陷。当代理或防火墙与后端服务器对畸形HTTP消息解析逻辑不同时，攻击者可利用此差异构造恶意请求，绕过安全控制或劫持用户会话。开发者应避免使用存在解析歧义的中间件，确保所有HTTP组件采用统一的解析标准，并严格校验请求边界，以消除解释不一致的风险。

MITRE CWE 官方描述
CWE：CWE-444 HTTP 请求解释不一致（'HTTP 请求/响应走私'） 该产品在数据流中充当两个实体（如客户端和服务器）之间的中间 HTTP 代理（例如代理服务器或防火墙），但它未能以与最终目的地实体处理消息的方式一致的方式来解释格式错误的 HTTP 请求或响应。 HTTP 请求或响应（“消息”）可能以导致 Web 服务器或客户端与中间 HTTP 代理（如负载均衡器、反向代理、Web 缓存代理、应用防火墙等）以不同方式解释这些消息的方式出现格式错误或意外情况。例如，攻击者可能能够添加重复或不同的头部字段，客户端或服务器可能将其解释为一组消息，而中间代理可能将相同的字节序列解释为另一组不同的消息。例如，在处理重复头部（如两个 Transfer-encoding (TE) 或两个 Content-length (CL)）时可能会出现差异，或者恶意的 HTTP 消息中 TE 和 CL 的头部不同。消息解析和解释的不一致可能允许攻击者将消息“走私”到客户端/服务器，而中间代理对此毫无察觉。这种弱点通常是由于 HTTP 代理中使用了过时或不兼容的 HTTP 协议版本所致。
常见影响 (1)
Integrity, Non-Repudiation, Access ControlUnexpected State, Hide Activities, Bypass Protection Mechanism
An attacker could create HTTP messages to exploit a number of weaknesses including 1) the message can trick the web server to associate a URL with another URL's webpage and caching the contents of the webpage (web cache poisoning attack), 2) the message can be structured to bypass the firewall prote…
缓解措施 (4)
ImplementationUse a web server that employs a strict HTTP parsing procedure, such as Apache [REF-433].
ImplementationUse only SSL communication.
ImplementationTerminate the client session after each request.
System ConfigurationTurn all pages to non-cacheable.
代码示例 (2)
In the following example, a malformed HTTP request is sent to a website that includes a proxy server and a web server with the intent of poisoning the cache to associate one webpage with another malicious webpage.
POST http://www.website.com/foobar.html HTTP/1.1 Host: www.website.com Connection: Keep-Alive Content-Type: application/x-www-form-urlencoded Content-Length: 0 Content-Length: 54 GET /poison.html HTTP/1.1 Host: www.website.com Bla: GET http://www.website.com/page_to_poison.html HTTP/1.1 Host: www.website.com Connection: Keep-Alive
Attack
GET /poison.html HTTP/1.1 Host: www.website.com Bla:
Result
In the following example, a malformed HTTP request is sent to a website that includes a web server with a firewall with the intent of bypassing the web server firewall to smuggle malicious code into the system.
POST /page.asp HTTP/1.1 Host: www.website.com Connection: Keep-Alive Content-Length: 49223 zzz...zzz ["z" x 49152] POST /page.asp HTTP/1.0 Connection: Keep-Alive Content-Length: 30 POST /page.asp HTTP/1.0 Bla: POST /page.asp?cmd.exe HTTP/1.0 Connection: Keep-Alive
Attack
CVE ID标题CVSS风险等级Published
CVE-2026-66338 Libsoup chunk-size解析漏洞 — Red Hat Enterprise Linux 10 5.4 Medium2026-07-24
CVE-2026-50197 Zalando SE Skipper 输入验证错误漏洞 — skipper--2026-07-17
CVE-2026-59249 Elixir Mint Mint 输入验证错误漏洞 — mint--2026-07-16
CVE-2026-12606 Eclipse Glassfish 输入验证错误漏洞 — Eclipse GlassFish--2026-07-14
CVE-2026-27690 SAP Approuter 输入验证错误漏洞 — SAP Approuter 9.1 Critical2026-07-14
CVE-2025-3110 OpenVPN Access Server 输入验证错误漏洞 — Access Server--2026-07-08
CVE-2026-11541 IBM WebSphere Application Server 输入验证错误漏洞 — WebSphere Application Server 7.4 High2026-06-30
CVE-2026-11806 IBM WebSphere Application Server Liberty 输入验证错误漏洞 — WebSphere Application Server - Liberty 7.2 High2026-06-30
CVE-2026-13763 AWS Application Load Balancer 输入验证错误漏洞 — AWS Application Load Balancer 9.8 Critical2026-06-29
CVE-2026-13762 AWS Amazon CloudFront 输入验证错误漏洞 — Amazon CloudFront 9.8 Critical2026-06-29
CVE-2026-58055 nghttp2 输入验证错误漏洞 — nghttp2 5.4 Medium2026-06-28
CVE-2026-48743 Envoy Proxy Envoy 输入验证错误漏洞 — envoy 7.5 High2026-06-26
CVE-2026-48746 vLLM 输入验证错误漏洞 — vllm 9.1 Critical2026-06-22
CVE-2026-8646 IBM WebSphere Application Server 输入验证错误漏洞 — WebSphere Application Server 7.4 High2026-06-22
CVE-2026-48979 php-standard-library 输入验证错误漏洞 — php-standard-library 7.5 High2026-06-17
CVE-2026-54388 tinyproxy 输入验证错误漏洞 — tinyproxy 9.1 Critical2026-06-17
CVE-2026-54387 tinyproxy 输入验证错误漏洞 — tinyproxy 9.1 Critical2026-06-17
CVE-2026-50020 Netty 输入验证错误漏洞 — netty 5.3 Medium2026-06-12
CVE-2026-6338 Kong Gateway Enterprise 环境问题漏洞 — Kong Enterprise Gateway--2026-06-11
CVE-2026-41853 Spring Framework 环境问题漏洞 — Spring Framework 5.3 Medium2026-06-09
CVE-2026-44546 daphne 安全漏洞 — daphne 3.7 Low2026-06-03
CVE-2026-50052 Varnish Cache和Vinyl Cache 环境问题漏洞 — Vinyl Cache--2026-06-03
CVE-2026-49753 Mint 安全漏洞 — mint--2026-06-02
CVE-2026-6324 libsoup 安全漏洞 — Red Hat Enterprise Linux 10 4.8 Medium2026-05-29
CVE-2026-47676 Hono 安全漏洞 — hono 5.3 Medium2026-05-28
CVE-2026-48710 Starlette 环境问题漏洞 — starlette 6.5 Medium2026-05-26
CVE-2026-8620 IBM Web Server Plug-ins for IBM WebSphere Application Server and IBM WebSphere Liberty 环境问题漏洞 — Web Server Plug-ins for WebSphere Application Server and WebSphere Liberty 7.5 High2026-05-26
CVE-2026-42585 Netty 环境问题漏洞 — netty 6.5 Medium2026-05-13
CVE-2026-42584 Netty 环境问题漏洞 — netty 7.3 High2026-05-13
CVE-2026-42580 Netty 输入验证错误漏洞 — netty 6.5 Medium2026-05-13

CWE-444（HTTP请求的解释不一致性(HTTP请求私运)） 是常见的弱点类别，本平台收录该类弱点关联的 196 条 CVE 漏洞。