curl CONNECT response header colon-check bypass in cf-h1-proxy single_header — proxy authentication bypass via injected HTTP/1.x status line
该报告还没有中文解读。
原文摘录
摘自原文（7971 字符中的一小部分）
In the HTTP/1.1 proxy-CONNECT response parser (`lib/cf-h1-proxy.c`, `single_header()`), the per-line counter `data->req.headerline` (a.k.a. `k->headerline`) is never incremented — only the tunnel-local `ts->headerlines` is. `Curl_req_soft_reset()` resets `k->headerline` to 0 before the CONNECT …
原文中的代码
HTTP/1.1 407 Proxy Authentication Required\r\n Proxy-Authenticate: Basic realm="proxy"\r\n HTTP/1.1 200 OK: x\r\n Content-Length: 0\r\n \r\n
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @noraqiu · 版权归作者与 curl 所有