CVE-2026-40175-poc

CVE-2026-40175 — حقن CRLF في Axios / إثبات مفهوم تهريب طلبات HTTP نظرة عامة ثغرة حقن CRLF في دالة AxiosHeaders.set الخاصة بعميل HTTP الخاص بـ Axios =1.0.0 1.15.0, 0.31.0 بسبب عدم التحقق من وجود \r\n داخل قيم الترويسات. يمكن للمهاجم، عبر دمجها مع تلوث النموذج الأولي Prototype Pollution عبر مكتبات...

CVE-2021-40346

CVE-2021-40346 يسمح تجاوز السعة الصحيحة في التمثيل الداخلي لطلب الرأس بتهريب طلبات HTTP. يقدم هذا المستودع إثباتًا للمفهوم PoC مبنيًا باستخدام docker-compose مع صورتين من Docker: واحدة بإصدار ضعيف من HaProxy في هذه الحالة 2.2.16 وأخرى بخادم ويب Flask يستخدم Gunicorn كـ WSGI. من خلال استغلال الثغر...

CVE-2026-63385

A flaw was found in libevent. The evhttpdecodeuriinternal function in http.c decodes percent-encoded %00 bytes into literal NUL characters without rejecting them, allowing an attacker to craft a URI such as /admin/secret%00.jpg where extension-based access checks see .jpg but the server processes...

CVE-2026-63382

A flaw was found in libevent. The evhttp parser in libevent's http.c component inconsistently handles HTTP Transfer-Encoding headers and chunked framing. This inconsistency allows an unauthenticated remote attacker to desynchronize request boundaries when libevent is used behind a proxy. Successf...

http-request-smuggling

HTTP Request Smuggling Detection Tool HTTP request smuggling is a high severity vulnerability which is a technique where an attacker smuggles an ambiguous HTTP request to bypass security controls and gain unauthorized access to performs malicious activities, the vulnerability was discovered back ...

CVE-2026-33555

ثغرة تهريب طلبات HTTP عبر HAProxy H3/QUIC لتجاوز التحقق من جسم طلب FIN المستقل المقال كاملاً هنا : https://r3verii.github.io/cve/2026/04/14/haproxy-h3-standalone-fin-smuggling.html الملخص ثغرة في تنفيذ HAProxy لبروتوكول HTTP/3 تسمح للمهاجم بإرسال طلب HTTP يحمل ترويسة Content-Length لا تطابق الحجم...

CVE-2025-55315-Scanner-Monitor

ماسح الثغرة CVE-2025-55315 ووكيل TLS يحتوي هذا المستودع على أدوات لاكتشاف ومراقبة تطبيقات ASP.NET Core المعرضة للثغرة CVE-2025-55315، والتي تتضمن تهريب طلبات HTTP بسبب تعارض ترويسات HTTP. الأدوات المضمنة 1. ماسح الثغرات بلغة Python CVE-2025-55315check.py يقوم بفحص قائمة من عناوين URL والتحقق من...

CVE-2026-84380

A flaw was found in HTTPX2, a Python HTTP client. The Request.prepare function can incorrectly add a Content-Length header to a request that already includes a Transfer-Encoding header. This conflict in HTTP framing headers can lead to request smuggling or connection desynchronization. This could...

CVE-2026-84380

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request.prepare in src/httpx2/httpx2/models.py can add a body-derived Content-Length header to a request that already contains a caller-supplied Transfer-Encoding header because its setdefault processing checks each default head...

CVE-2026-84380 HTTPX2: Conflicting Content-Length and Transfer-Encoding headers can be auto-generated

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request.prepare in src/httpx2/httpx2/models.py can add a body-derived Content-Length header to a request that already contains a caller-supplied Transfer-Encoding header because its setdefault processing checks each default head...

CVE-2026-84380 HTTPX2: Conflicting Content-Length and Transfer-Encoding headers can be auto-generated

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request.prepare in src/httpx2/httpx2/models.py can add a body-derived Content-Length header to a request that already contains a caller-supplied Transfer-Encoding header because its setdefault processing checks each default head...

CVE-2026-84380

HTTPX2 , a next-generation HTTP client for Python, contains a request-smuggling vulnerability prior to version 2.11.0 . The flaw resides in Request._prepare() in _models.py, where its setdefault() logic checks Content-Length and Transfer-Encoding headers independently instead of treating them as ...

EUVD-2026-70248

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request.prepare in src/httpx2/httpx2/models.py can add a body-derived Content-Length header to a request that already contains a caller-supplied Transfer-Encoding header because its setdefault processing checks each default head...

audit-axios

audit-axios افحص المستودعات المحلية بحثًا عن إصدارات axios الضعيفة وقم بتصحيحها بشكل تفاعلي. يستهدف CVE-2026-40175 — حقن رأس CRLF يؤدي إلى تهريب الطلبات و SSRF. درجة CVSS 9.9، ويؤثر على جميع إصدارات axios الأقل من 1.15.0. بدء سريع root@kitploit: npx audit-axios /Workspace /Projects الاستخدام...

smugglex

ماسح ضوئي لتهريب طلبات HTTP مبني بلغة Rust. نظرة عامة Smugglex هي أداة اختبار أمان تكتشف ثغرات تهريب طلبات HTTP HTTP Request Smuggling في تطبيقات الويب. تختبر هجمات CL.TE وTE.CL وTE.TE وH2C وH2، وعلى الأهداف التي تعمل بنظام HTTPS — يتحدث بروتوكول HTTP/2 حقيقي ALPN h2 لاكتشاف تهريب الترقية من HTTP...

cve-2026-69243-poc-aiohttp-smuggling

CVE-2026-69243 — تهريب الطلبات في aiohttp CWE-444 تهريب الطلبات عبر ترقية WebSocket مرفوضة في aiohttp أو اطبع نسخة Rust بدون تبعيات، std فقط: root@kitploit: git clone https://github.com/JVBotelho/cve-2026-69243-poc-aiohttp-smuggling cd cve-2026-69243-poc-aiohttp-smuggling/poc cargo build --releas...

F5-BIG-IP-SmuggleShell-CVE-2023-46747-Exploit

F5 BIG-IP CVE-2023-46747 – ثغرة RCE بدون مصادقة + قشرة عكسية إصدارا Python3 وNuclei – بواسطة raguraman ثغرة RCE حرجة بدون مصادقة CVSS 9.8 عبر AJP وتهريب طلبات HTTP تعمل على جميع إصدارات BIG-IP غير المُصحّحة 13.x → 17.x بما في ذلك الأحدث 17.1.0.3 التصحيح:...

request_smuggler

Request smuggler Сканер уязвимости контрабанды HTTP-запросов Основано на замечательном исследовании от James Kettle. Инструмент может помочь найти серверы, которые могут быть уязвимы для контрабанды запросов. Архивировано...

CVE-2026-67182-HTTP-Request-Smuggling-Enables-Front-End-Access-Control-Bypass-rouille-

نشرة أمنية: تهريب طلبات HTTP يتيح تجاوز ضوابط الوصول في الواجهة الأمامية rouille معرّف CVE المُعيَّن: CVE-2026-67182 الملخص تقوم rouille::proxy::proxy و rouille::proxy::fullproxy بنسخ قيم ترويسات الطلبات المقدَّمة من العميل إلى الاتصال بالخادم العلوي دون التحقق من خلوّها من أحرف التحكم. يمكن أن...

CVE-2019-20372

مرجع https://bertjwregeer.keybase.pub/2019-12-10%20-%20errorpage%20request%20smuggling.pdf تشغيل الخادم docker run -it --rm -p 80:80 -v pwd/default.conf:/etc/nginx/conf.d/default.conf nginx:1.17.6 الاستغلال printf "GET /a HTTP/1.1\r\nHost: localhost\r\nContent-Length: 56\r\n\r\nGET...