CVE-2026-115823— Starman 0.4019 之前版本 HTTP 响应不同步漏洞
一分钟漏洞结论
影响对象
CVE-2026-115823
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Perl 环境下 Starman 0.4019 之前的版本在处理 HEAD 请求时会发送响应实体（response body），从而导致在持久连接（keep-alive）上出现响应错位。 具体而言，对于 HEAD 请求，Starman 虽然会省略分块传输编码（chunked framing），但无论是在数组响应路径还是流式响应路径上，仍会将应用程序返回的响应实体写入输出。此外，状态码为 1xx、204 或 304 的响应也会携带响应实体。 在持久连接或请求流水线（pipelined）连接中，客户端会将这些额外的字节
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application一、 漏洞 CVE-2026-115823 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Starman versions before 0.4019 for Perl send response bodies for HEAD requests, desynchronizing responses on keep-alive connections
来源: CVE Program / CVE List V5
Vulnerability Description
Starman versions before 0.4019 for Perl send response bodies for HEAD requests, desynchronizing responses on keep-alive connections.
For a HEAD request Starman omits chunked framing but still writes the body returned by the application, on both the array and streaming response paths. Responses with a 1xx, 204 or 304 status also carry the body.
On a keep-alive or pipelined connection the client reads those bytes as the start of the next response. A front-end proxy that reuses upstream connections may then pair responses with the wrong requests.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
HTTP请求的解释不一致性(HTTP请求私运)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| - | - | 0 ~ 0.4019 | - |
|
二、漏洞 CVE-2026-115823 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-115823 的情报信息
请登录查看更多情报信息。