Vulnerabilidad · Publicado 14/10/2026
Se identificó una falla en la característica de proxy inverso de BusyBox httpd donde solo la primera solicitud HTTP en una conexión TCP es reescrita correctamente. Un atacante puede enviar solicitudes encadenadas (pipelined) que se transmiten sin modificar al servidor backend, eludiendo las restricciones de ruta configuradas y permitiendo acceso a rutas arbitrarias. Esta vulnerabilidad afecta sistemas edge, routers, contenedores y dispositivos embebidos comúnmente desplegados en infraestructuras de LATAM.
A flaw was found in BusyBox httpd's reverse proxy feature. When the proxy is configured to forward requests matching a URL prefix to a backend server, only the first HTTP request on a TCP connection has its path rewritten. An attacker can send a pipelined second request that is relayed verbatim to the backend, bypassing the configured path restrictions. This allows accessing arbitrary paths on the backend server that were not intended to be exposed through the proxy.
Score: 7.2/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
CWE-444
Publicado en NIST NVD.