Title: cowlib de ninenines, Description: La vulnerabilidad de Neutralización Incorrecta de Secuencias CRLF en Encabezados HTTP ('División de Solicitud/Respuesta HTTP') en ninenines cowlib permite la división de respuesta HTTP a través de bytes no VCHAR en valores de cadena de campos estructurados.

cow_http_struct_hd:escape_string/2 en cowlib solo escapa \ y ", pasando todos los demás bytes textualmente. Esto crea una asimetría de codificador/decodificador: el analizador coincidente acepta solo ASCII imprimible (0x20-0x7E, excluyendo " y \), pero el codificador emite cualquier byte, incluidos CR y LF. Una aplicación que construye un encabezado HTTP estructurado a través de cow_http_struct_hd:item/1 (o un envoltorio de nivel superior como cow_http_hd:wt_protocol/1) desde una entrada controlada por el atacante puede tener \r\n inyectado en el valor del encabezado serializado. Una vez en la red, el CRLF inyectado termina el encabezado actual y cualquier byte siguiente se interpreta como un nuevo encabezado, lo que permite la división de respuesta HTTP.

Este problema afecta a cowlib desde la versión 2.9.0.

{"timestamp":"2026-06-08T18:37:59.853576Z","id":"CVE-2026-43966","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"ninenines","product":"cowlib","defaultStatus":"unaffected","collectionURL":"https://repo.hex.pm","packageName":"cowlib","cpes":["cpe:2.3:a:ninenines:cowlib:*:*:*:*:*:*:*:*"],"modules":["cow_http_struct_hd"],"programFiles":["src/cow_http_struct_hd.erl"],"programRoutines":[{"name":"cow_http_struct_hd:escape_string/2"},{"name":"cow_http_struct_hd:bare_item/1"}],"repo":"https://github.com/ninenines/cowlib","packageURL":"pkg:hex/cowlib","versions":[{"version":"2.9.0","versionType":"semver","status":"affected"}]},{"vendor":"ninenines","product":"cowlib","defaultStatus":"unaffected","collectionURL":"https://github.com","packageName":"ninenines/cowlib","cpes":["cpe:2.3:a:ninenines:cowlib:*:*:*:*:*:*:*:*"],"modules":["cow_http_struct_hd"],"programFiles":["src/cow_http_struct_hd.erl"],"programRoutines":[{"name":"cow_http_struct_hd:escape_string/2"},{"name":"cow_http_struct_hd:bare_item/1"}],"repo":"https://github.com/ninenines/cowlib","packageURL":"pkg:github/ninenines/cowlib","versions":[{"version":"a8b793db3d6ffe91d62f81baf41b1dab4cd78fb6","versionType":"git","status":"affected"}]}]

Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Request/Response Splitting') vulnerability in ninenines cowlib allows HTTP response splitting via non-VCHAR bytes in structured-fields string values.

cow_http_struct_hd:escape_string/2 in cowlib only escapes \ and ", passing all other bytes through verbatim. This creates an encoder/decoder asymmetry: the matching parser accepts only printable ASCII (0x20–0x7E, excluding " and \), but the encoder emits any byte including CR and LF. An application that builds a structured HTTP header via cow_http_struct_hd:item/1 (or a higher-level wrapper such as cow_http_hd:wt_protocol/1) from attacker-controlled input can have \r\n injected into the serialized header value. Once on the wire, the injected CRLF terminates the current header and any following bytes are interpreted as a new header, enabling HTTP response splitting.

This issue affects cowlib from 2.9.0.

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

CWE-113

https://cna.erlef.org/cves/CVE-2026-43966.html

https://github.com/ninenines/cowboy/commit/f77cb9b5e730e300fffb551db1ba5d1c4ed878ef

https://github.com/ninenines/gun/commit/4f35609eb37109b106a863fc9ba83d7ee64e3e42

https://osv.dev/vulnerability/EEF-CVE-2026-43966