CVE-2026-44974
Publiée le 2026-07-17 · Dernière modification le 2026-10-24
Les applications utilisant la bibliothèque `@hapi/content` pour analyser les en-têtes HTTP sont vulnérables au détournement de paramètres (parameter smuggling). Un attaquant peut contourner les restrictions sur les noms de fichiers — par exemple, en incitant un serveur à accepter un fichier `.php` alors qu'il attend un fichier `.txt` — en fournissant des paramètres dupliqués que la bibliothèque traite de manière incohérente. Cette action peut être exécutée via le réseau par tout utilisateur non authentifié, sans interaction requise de la part d'une victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@hapi/content provided HTTP Content-* headers parsing. Prior to 6.0.2, Content.disposition() retained the last occurrence of each duplicate parameter while Content.type() retained the first occurrence of duplicate charset and boundary parameters, creating a parameter-smuggling primitive when another component in the request-processing chain resolves duplicates the opposite way. This can allow an upload filename allowlist bypass in headers such as Content-Disposition: form-data; name="file"; filename="safe.txt"; filename="shell.php". This issue is fixed in version 6.0.2.