关键信息总结 漏洞类型 HTTP Header Injection (CRLF Injection) 漏洞信息 级别: Moderate (CVSS v3 base score: 5.3/10) 漏洞描述: 攻击者可以通过包含CRLF、LF或空字符的用户控制的头值和名称中注入任意的HTTP头。 影响: 1. 注入任意HTTP头 - 在请求中添加恶意的头 2. HTTP响应分割 - 在某些代理配置中潜在地操纵响应 3. 缓存污染 - 注入头可能会污染中间缓存 4. 会话固定 - 注入与会话相关的头 5. 绕过安全控制 - 注入可绕过服务器端安全检查的头 受影响版本和修复过的版本 受影响版本: <=0.1.0 修复过后的版本: 0.1.1 示例代码 影响代码文件 文件: gakido/headers.py 函数: canonicalize_headers() 修复代码示例 在头处理逻辑中添加一个_sanitizer_header()函数，该函数在包含在HTTP请求之前，从头名称和值中去除\r, \n, 和\x00字符。示例代码如下：