Tesla vulnerable to multipart part smuggling via unescaped `content-disposition` values — GHSA-28JH-G32X-V9V4

Zusammenfassung

### Summary `Tesla.Multipart.part_headers_for_disposition/1` interpolates `Content-Disposition` parameter values (field name, filename, and other opts) verbatim into the part header line without encoding or escaping any special characters. An attacker who controls a filename, field name, or other disposition parameter can use unescaped double-quotes to inject extra disposition key-value pairs, or CRLF sequences to…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-07-10

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: low.
• Gemeldeter CVSS-Wert: 2.1 von 10.
• Gemeldeter EPSS-Wert: 0.00143.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: erlang: tesla.

Produkt

erlang: tesla

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-28JH-G32X-V9V4

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-07-10

Letzte Quellenaktivität

2026-07-10

Weitere Kennungen

CVE-2026-48598

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.