CVE-2026-48596
Publiée le 2026-06-02 · Dernière modification le 2026-09-24
Les applications utilisant le client HTTP Tesla pour Elixir (versions 0.8.0 à 1.18.2) sont concernées si elles transmettent des entrées utilisateur non validées dans les paramètres de type de contenu « multipart ». Un attaquant peut injecter des en-têtes malveillants dans les requêtes HTTP sortantes en incluant des caractères de retour chariot ou de saut de ligne dans ses données. Cela nécessite que l'attaquant dispose d'un moyen d'envoyer des données au serveur qui sont ensuite relayées par l'application, bien que l'impact global sur la sécurité soit considéré comme faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Request/Response Splitting') vulnerability in elixir-tesla tesla allows HTTP header injection via Tesla.Multipart.add_content_type_param/2. Tesla.Multipart.add_content_type_param/2 appends caller-supplied strings to the multipart content_type_params list without validating for CR (\r) or LF (\n) characters. Tesla.Multipart.headers/1 then joins these params verbatim with "; " to construct the outgoing Content-Type header value. A param containing \r\n splits the header line, allowing arbitrary headers to be injected into the outbound HTTP request. Any application that forwards untrusted input (such as a user-supplied charset or parameter string) into add_content_type_param/2 is affected. This issue affects tesla: from 0.8.0 before 1.18.3.