CVE-Katalog

CVE-2026-7010

HTTP::Tiny versions before 0.093 for Perl do not validate CRLF in HTTP request lines or control field header values. The unvalidated inputs are the method and URI in the request line, the URL host th

[CVE-Katalog]

Schweregrad
Medium · CVSS 6.5
Published
Source
[NVD] · [CVE record]
EPSS
0.36% · Oct 23, 2026

HTTP::Tiny versions before 0.093 for Perl do not validate CRLF in HTTP request lines or control field header values. The unvalidated inputs are the method and URI in the request line, the URL host that becomes the `Host:` header, and HTTP/1.1 control data field values. An attacker who controls one of these inputs, for example a user supplied URL passed to a webhook or URL fetch endpoint, can inject additional headers and smuggle requests to the upstream server.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianperlsid5.42.3-1fixed
Debianperlforky5.42.3-1fixed
Debianperltrixie5.40.1-6+deb13u1fixed
Debianperlbookworm5.36.0-7+deb12u3vulnerable
Debianperlbookworm-security5.36.0-7+deb12u4fixed
Debianlibhttp-tiny-perlsid0.096-1fixed
Debianlibhttp-tiny-perlforky0.096-1fixed
Debianlibhttp-tiny-perltrixie0.090-1+deb13u1fixed
Debianlibhttp-tiny-perlbookworm0.082-2vulnerable
Cpelibhttp-tiny-perlNot reportedNot reportedvulnerable
CpeperlNot reportedNot reportedvulnerable
Opensuseperl-HTTP-Tinytumbleweed0.094-1.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianperlsourcesid5.40.1-8not yet assignedNot reported[1138858]
Debianperlsourceforky5.40.1-8not yet assignedNot reported[1138858]
Debianperlsourcetrixie5.40.1-6+deb13u1not yet assignedNot reported[1138858]
Debianperlsourcebookworm5.36.0-7+deb12u4not yet assignedNot reported[1138858]
Debianlibhttp-tiny-perlsourcesid0.092-2not yet assignedNot reported[1146064]
Debianlibhttp-tiny-perlsourceforky0.092-2not yet assignedNot reported[1146064]
Debianlibhttp-tiny-perlsourcetrixie0.090-1+deb13u1not yet assignedNot reported[1146064]
Debianlibhttp-tiny-perlsourcebookworm(unfixed)not yet assignedNot reported[1146064]
Opensuseperl-HTTP-Tinyrpmtumbleweed0.094-1.1Not reportedOPENSUSE-SU-2026:10805-1Not reported

[Debian bug #1138858][Debian bug #1146064]

Notes

[bookworm] libhttp-tiny-perl: Minor issue

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [libhttp-tiny-perl]Betroffen
    Details (2)

    • 0.082-2 · all · bookworm

      Betroffen

      nvd · libhttp-tiny-perl · debian · bookworm; nvd · libhttp-tiny-perl · debian · 12

    • 0.082-2 · all · bookworm

      Betroffen

      nvd · libhttp-tiny-perl · debian · bookworm; nvd · libhttp-tiny-perl · debian · 12

  • [libperl5.36]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · amd64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · arm64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · amd64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · arm64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [libperl-dev]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · amd64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · arm64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · amd64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · arm64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [perl]Betroffen
    Details (4)

    • 5.36.0-7+deb12u3 · amd64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · arm64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · amd64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · arm64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [perl-base]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · amd64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · arm64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · amd64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · arm64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [perl-debug]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · amd64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · arm64 · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · amd64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · arm64 · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [perl-doc]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · all · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · all · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · all · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · all · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

  • [perl-modules-5.36]Betroffen

    Quellpaket: [perl]

    Details (4)

    • 5.36.0-7+deb12u3 · all · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u3 · all · bookworm

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · all · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

    • 5.36.0-7+deb12u2 · all · bookworm-security

      Betroffen · Behoben: 5.36.0-7+deb12u4

      nvd · perl · debian · bookworm; nvd · perl · debian · 12

[Debian 13 (Trixie)]

  • [libhttp-tiny-perl]Betroffen
    Details (2)

    • 0.090-1 · all · trixie

      Betroffen · Behoben: 0.090-1+deb13u1

      nvd · libhttp-tiny-perl · debian · 13

    • 0.090-1 · all · trixie

      Betroffen · Behoben: 0.090-1+deb13u1

      nvd · libhttp-tiny-perl · debian · 13

  • [libperl5.40]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · amd64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · arm64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [libperl-dev]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · amd64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · arm64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [perl]Betroffen
    Details (2)

    • 5.40.1-6 · amd64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · arm64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [perl-base]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · amd64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · arm64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [perl-debug]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · amd64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · arm64 · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [perl-doc]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · all · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · all · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

  • [perl-modules-5.40]Betroffen

    Quellpaket: [perl]

    Details (2)

    • 5.40.1-6 · all · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

    • 5.40.1-6 · all · trixie

      Betroffen · Behoben: 5.40.1-6+deb13u1

      nvd · perl · debian · 13

[openSUSE Tumbleweed]

  • [perl-HTTP-Tiny]Behoben

    Quellpaket: [perl-HTTP-Tiny]

    Details (1)

    • 0.096-2.2 · noarch · tumbleweed

      Behoben · Behoben: 0.094-1.1

      nvd · perl-HTTP-Tiny · opensuse · tumbleweed

Beobachtet:

Referenzen

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]