Request smuggling is possible when both chunked TE and content length specified
Impact
Request smuggling is possible when running behind a proxy that doesn't handle Content-Length and Transfer-Encoding properly or doesn't handle alone \n as a headers separator.
Patches
https://github.com/ktorio/ktor/pull/1547
Workarounds
None except migrating to a better proxy.
References
https://portswigger.net/web-security/request-smuggling https://tools.ietf.org/html/rfc7230#section-9.5
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | io.ktor:ktor-client-cio | < 1.3.0 | 1.3.0 |
| Java / Kotlin (Maven) | io.ktor:ktor-server-cio | < 1.3.0 | 1.3.0 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N- Debilidad (CWE)
CWE-444- Plataforma
- Java / Kotlin (Maven)
- Paquete
io.ktor:ktor-client-cio, io.ktor:ktor-server-cio- Publicada
- 27.01.2020
- Actualizado
- 11.10.2026 12:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-xrr9-rh8p-433v - CC BY 4.0
Historial de vulnerabilidades: io.ktor:ktor-server-cio
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.