目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-444 HTTP请求的解释不一致性(HTTP请求私运) 类漏洞列表 285

CWE-444 HTTP请求的解释不一致性(HTTP请求私运) 类弱点 285 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-444指HTTP请求/响应走私漏洞，属于中间件解释不一致型缺陷。当代理或防火墙与后端服务器对畸形HTTP消息解析逻辑不同时，攻击者可利用此差异构造恶意请求，绕过安全控制或劫持用户会话。开发者应避免使用存在解析歧义的中间件，确保所有HTTP组件采用统一的解析标准，并严格校验请求边界，以消除解释不一致的风险。

MITRE CWE 官方描述
CWE：CWE-444 HTTP 请求解释不一致（'HTTP 请求/响应走私'） 该产品在数据流中充当两个实体（如客户端和服务器）之间的中间 HTTP 代理（例如代理服务器或防火墙），但它未能以与最终目的地实体处理消息的方式一致的方式来解释格式错误的 HTTP 请求或响应。 HTTP 请求或响应（“消息”）可能以导致 Web 服务器或客户端与中间 HTTP 代理（如负载均衡器、反向代理、Web 缓存代理、应用防火墙等）以不同方式解释这些消息的方式出现格式错误或意外情况。例如，攻击者可能能够添加重复或不同的头部字段，客户端或服务器可能将其解释为一组消息，而中间代理可能将相同的字节序列解释为另一组不同的消息。例如，在处理重复头部（如两个 Transfer-encoding (TE) 或两个 Content-length (CL)）时可能会出现差异，或者恶意的 HTTP 消息中 TE 和 CL 的头部不同。消息解析和解释的不一致可能允许攻击者将消息“走私”到客户端/服务器，而中间代理对此毫无察觉。这种弱点通常是由于 HTTP 代理中使用了过时或不兼容的 HTTP 协议版本所致。
常见影响 (1)
Integrity, Non-Repudiation, Access Control Unexpected State, Hide Activities, Bypass Protection Mechanism
An attacker could create HTTP messages to exploit a number of weaknesses including 1) the message can trick the web server to associate a URL with another URL's webpage and caching the contents of the webpage (web cache poisoning attack), 2) the message can be structured to bypass the firewall prote…
缓解措施 (4)
Implementation Use a web server that employs a strict HTTP parsing procedure, such as Apache [REF-433].
Implementation Use only SSL communication.
Implementation Terminate the client session after each request.
System Configuration Turn all pages to non-cacheable.
代码示例 (2)
In the following example, a malformed HTTP request is sent to a website that includes a proxy server and a web server with the intent of poisoning the cache to associate one webpage with another malicious webpage.
POST http://www.website.com/foobar.html HTTP/1.1 Host: www.website.com Connection: Keep-Alive Content-Type: application/x-www-form-urlencoded Content-Length: 0 Content-Length: 54 GET /poison.html HTTP/1.1 Host: www.website.com Bla: GET http://www.website.com/page_to_poison.html HTTP/1.1 Host: www.website.com Connection: Keep-Alive
Attack
GET /poison.html HTTP/1.1 Host: www.website.com Bla:
Result
In the following example, a malformed HTTP request is sent to a website that includes a web server with a firewall with the intent of bypassing the web server firewall to smuggle malicious code into the system.
POST /page.asp HTTP/1.1 Host: www.website.com Connection: Keep-Alive Content-Length: 49223 zzz...zzz ["z" x 49152] POST /page.asp HTTP/1.0 Connection: Keep-Alive Content-Length: 30 POST /page.asp HTTP/1.0 Bla: POST /page.asp?cmd.exe HTTP/1.0 Connection: Keep-Alive
Attack
CVE ID 标题 CVSS 风险等级 Published
CVE-2026-1760 libsoup 环境问题漏洞 — Red Hat Enterprise Linux 10 5.3 Medium 2026-02-02
CVE-2025-41082 Altitude Communication Server 环境问题漏洞 — Altitude Communication Server 9.1AI Critical AI 2026-01-26
CVE-2026-1002 vert.x 安全漏洞 — Eclipse Vert.x 5.3AI Medium AI 2026-01-15
CVE-2026-23527 H3 环境问题漏洞 — h3 8.9 High 2026-01-15
CVE-2025-69225 aiohttp 环境问题漏洞 — aiohttp 7.5 - 2026-01-05
CVE-2025-69224 aiohttp 环境问题漏洞 — aiohttp 7.5 - 2026-01-05
CVE-2025-12874 Quest Coexistence Manager for Notes 安全漏洞 — Coexistence Manager for Notes 8.2AI High AI 2025-12-19
CVE-2023-53878 Phpjabbers Member Login Script 环境问题漏洞 — Member Login Script 7.5AI High AI 2025-12-15
CVE-2025-14523 libsoup 环境问题漏洞 — Red Hat Enterprise Linux 10 8.2 High 2025-12-11
CVE-2025-12642 lighttpd 安全漏洞 — lighttpd 6.5AI Medium AI 2025-11-03
CVE-2025-11915 Google Cloud Vertex AI API 安全漏洞 — Vertex AI: Partner Models for MaaS 9.8AI Critical AI 2025-10-22
CVE-2025-55315 Microsoft ASP.NET Core 环境问题漏洞 — ASP.NET Core 2.3 9.9 Critical 2025-10-14
CVE-2025-59822 Http4s 安全漏洞 — http4s 6.5AI Medium AI 2025-09-23
CVE-2025-6999 WatchGuard Fireware OS 安全漏洞 — Fireware OS 6.9 Medium 2025-09-15
CVE-2025-58056 Netty 环境问题漏洞 — netty 7.4AI High AI 2025-09-03
CVE-2025-58068 Eventlet 环境问题漏洞 — eventlet 8.2 - 2025-08-29
CVE-2025-54142 Akamai Ghost 环境问题漏洞 — AkamaiGhost 4.0 Medium 2025-08-29
CVE-2025-32094 Akamai Ghost 环境问题漏洞 — AkamaiGhost 4.0 Medium 2025-08-07
CVE-2025-52892 EspoCRM 环境问题漏洞 — espocrm 4.5 Medium 2025-08-05
CVE-2025-53643 aiohttp 环境问题漏洞 — aiohttp 9.8 - 2025-07-14
CVE-2025-49826 Next.js 安全漏洞 — next.js 7.5 High 2025-07-03
CVE-2025-49005 Next.js 环境问题漏洞 — next.js 3.7 Low 2025-07-03
CVE-2025-6442 Webrick 环境问题漏洞 — WEBrick 5.9AI Medium AI 2025-06-25
CVE-2025-4366 Pingora 安全漏洞 7.5AI High AI 2025-05-22
CVE-2025-4600 Google Cloud Classic Application Load Balancer 安全漏洞 — Classic Application Load Balancer 7.5AI High AI 2025-05-16
CVE-2025-47905 Varnish Cache 安全漏洞 — Varnish Cache 5.4 Medium 2025-05-13
CVE-2025-43859 h11 环境问题漏洞 — h11 9.1 Critical 2025-04-24
CVE-2024-53868 Apache Traffic Server（ATS） 环境问题漏洞 — Apache Traffic Server 7.5AI High AI 2025-04-03
CVE-2025-31137 react-router 环境问题漏洞 — react-router 5.3 - 2025-04-01
CVE-2022-39163 IBM Cognos Controller 环境问题漏洞 — Cognos Controller 4.7 Medium 2025-03-26

CWE-444（HTTP请求的解释不一致性(HTTP请求私运)） 是常见的弱点类别，本平台收录该类弱点关联的 285 条 CVE 漏洞。