CVE-2026-116127

Starlet versions before 0.33 for Perl send a body in responses to HEAD requests, corrupting the next response on a persistent or pipelined…

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.33

Обновите модуль Starlet до версии 0.33 или новее.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

HTTP-сервер Starlet отправляет тело ответа на запросы HEAD, а также на статусы 204 и 304. Это приводит к рассинхронизации HTTP-пайплайнинга и порче последующих ответов в рамках постоянного соединения.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Метод HTTP-запроса не передается во внутренний response writer, из-за чего сервер отправляет клиенту сгенерированное приложением тело даже для HEAD-запросов. При использовании Plack::Middleware::Head без заголовка Content-Length в HTTP/1.1 добавляется терминатор chunked encoding. Аналогично тело ошибочно отдается со статусами 204 и 304. При этом конвейерные запросы удерживают соединение открытым по умолчанию.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Рассинхронизация HTTP-запросов (HTTP Desync / Response Splitting). Прокси-сервер или клиент интерпретирует паразитные байты тела ответа как начало следующего HTTP-ответа в цепочке, что ведет к повреждению данных или подмене ответов.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 0➔Fix: 0.33

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-116127: Starlet versions before 0.33 for Perl send a body in responses to HEAD requests, corrupting the next response on a persistent or pipelined…. URL: https://cve.futuretools.ru/cve/CVE-2026-116127

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_116127,
  title = {{CVE-2026-116127: Starlet versions before 0.33 for Perl send a body in responses to HEAD requests, corrupting the next response on a persistent or pipelined…}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-116127}},
  note = {Оперативный инженерный анализ киберугроз}
}