VULNERABILIDAD
CVE-2026-93003 El servidor HTTP Web de NetX Duo interpreta el cuerpo de la solicitud como encabezados HTTP
El servidor HTTP del add-on Web busca campos de encabezado en todo el paquete de la solicitud en lugar de detenerse al final de la sección de encabezados. Un nombre de campo de encabezado colocado en el cuerpo se informa como si fuera un encabezado, lo que permite a un cliente controlar decisiones de delimitación de la solicitud que no debería poder alcanzar.
Alerta de Nureq Monitor
Detectada 20 OCT · 14:30
CVSS 4.0
6.9MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 25
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-93003
El servidor HTTP del add-on Web busca campos de encabezado en todo el paquete de la solicitud en lugar de detenerse al final de la sección de encabezados. Un nombre de campo de encabezado colocado en el cuerpo se informa como si fuera un encabezado, lo que permite a un cliente controlar decisiones de delimitación de la solicitud que no debería poder alcanzar.
Productos y versiones afectadas
Eclipse Foundation Eclipse ThreadX - NetX Duo
Qué hacer
- Verificá si usás Eclipse ThreadX - NetX Duo y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Ninguna
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Baja
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Baja
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
The Web add-on's HTTP server searches the entire request packet for header fields instead of stopping at the end of the header section. A header field name placed in the request body is therefore reported to the server as though it were a header, which lets a client control request framing decisions it should not be able to reach.
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.