{"id":163792,"date":"2026-03-10T23:11:57","date_gmt":"2026-03-10T21:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy"},"modified":"2026-03-10T23:11:57","modified_gmt":"2026-03-10T21:11:59","slug":"uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","title":{"rendered":"Vulnerabilidades en el proyecto Pingora que permiten interferir en solicitudes externas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La empresa Cloudflare ha anunciado que ha solucionado tres vulnerabilidades en el marco Pingora, dos de las cuales han sido clasificadas con un nivel cr\u00edtico de peligrosidad (9.3 sobre 10). El marco Pingora est\u00e1 escrito en el lenguaje Rust y est\u00e1 dise\u00f1ado para desarrollar servicios de red seguros y de alto rendimiento. Los proxies construidos con Pingora son utilizados en la red de entrega de contenido de Cloudflare y manejan m\u00e1s de 40 millones de solicitudes por segundo. Las vulnerabilidades han sido solucionadas en la versi\u00f3n Pingora 0.8.0. <\/p>\n

Las dos vulnerabilidades m\u00e1s peligrosas permiten realizar ataques de tipo 'HTTP Request Smuggling', que facilitan evadir sistemas de control de acceso e infiltrarse en el contenido de solicitudes de otros usuarios que se procesan en el mismo flujo entre el front-end y el back-end (por ejemplo, para insertar c\u00f3digo JavaScript malicioso en la sesi\u00f3n de otro usuario con el sitio). Los problemas fueron identificados por un participante en el programa Bug Bounty, que ofrece recompensas por el descubrimiento de vulnerabilidades. <\/p>\n

En el esquema donde se accede al back-end a trav\u00e9s de un proxy inverso, las solicitudes de los clientes son recibidas por un nodo adicional que establece una conexi\u00f3n TCP de larga duraci\u00f3n con el back-end, que se encarga de procesar las solicitudes directamente. A trav\u00e9s de esta conexi\u00f3n com\u00fan, se suelen transmitir solicitudes de diferentes usuarios que se env\u00edan en secuencia, separados por los medios del protocolo HTTP. Los ataques de tipo HTTP Request Smuggling surgen de diferentes interpretaciones de los encabezados HTTP y las especificaciones del protocolo HTTP en los front-ends y back-ends, por ejemplo, cuando el front-end utiliza el encabezado 'Content-Length' para determinar el tama\u00f1o de la solicitud, mientras que el back-end utiliza 'Transfer-Encoding: chunked'. <\/p>\n

La primera vulnerabilidad CVE-2026-2835 est\u00e1 presente en el c\u00f3digo de an\u00e1lisis de solicitudes HTTP\/1.0 y es causada por un manejo incorrecto del encabezado 'Transfer-Encoding' con m\u00faltiples valores, as\u00ed como por la utilizaci\u00f3n del cierre de la conexi\u00f3n como un indicador del final del cuerpo de la solicitud (close-delimited). Pingora solo verificaba la variante 'Transfer-Encoding: chunked' e ignoraba este encabezado si se especificaban m\u00faltiples valores. En esta situaci\u00f3n, Pingora no consideraba el tama\u00f1o en el encabezado 'Content-Length' y trataba como cuerpo de la solicitud todos los datos recibidos hasta el cierre de la conexi\u00f3n. <\/p>\n

Mediante la especificaci\u00f3n de m\u00faltiples valores en el encabezado 'Transfer-Encoding', un atacante podr\u00eda crear condiciones en las que la solicitud redirigida al back-end tuviera un tama\u00f1o real que no coincid\u00eda con el tama\u00f1o de la cadena chunked calculada en funci\u00f3n del encabezado 'Transfer-Encoding'. Pingora redirig\u00eda todos los datos recibidos como una \u00fanica solicitud, y el back-end, como Node.js, calculaba la solicitud en base a 'Transfer-Encoding: chunked' y procesaba el resto como el inicio de otra solicitud. GET \/ HTTP\/1.0 Host: example.com Connection: keep-alive Transfer-Encoding: identity, chunked Content-Length: 29 0 GET \/admin HTTP\/1.1 X:

\"Vulnerabilidades<\/center> <\/p>\n

La segunda vulnerabilidad CVE-2026-2833 se debe a un manejo incorrecto del encabezado HTTP 'Upgrade' en solicitudes HTTP\/1.1. Cuando se detecta el encabezado 'Upgrade' en una solicitud, el proxy inmediatamente reenv\u00eda al backend, y los dem\u00e1s datos de la solicitud que siguen al encabezado 'Upgrade' no esperan la respuesta del backend con el c\u00f3digo 101 (Switching Protocols). Debido a esto, la sincronizaci\u00f3n entre el proxy y el backend se ve interrumpida, y el backend interpreta los datos enviados despu\u00e9s del encabezado 'Upgrade' como una solicitud independiente, enviando el resultado de esa solicitud en respuesta a la solicitud subsiguiente de otro usuario. GET \/ HTTP\/1.1 Host: example.com Upgrade: foo GET \/admin HTTP\/1.1 Host: example.com

\"Vulnerabilidades<\/center>
\"Vulnerabilidades<\/center> <\/p>\n

Los problemas se manifiestan al utilizar Pingora en forma de proxy inverso (ingress proxy), retransmitiendo solicitudes de usuarios a los backends con protocolos HTTP\/1.0 o HTTP\/1.1. La configuraci\u00f3n utilizada en la red de entrega de contenido Cloudflare no permit\u00eda la explotaci\u00f3n de vulnerabilidades, ya que Pingora en el CDN no act\u00faa como un proxy ingress, solo reenv\u00eda solicitudes utilizando el protocolo HTTP\/1.1, bloquea solicitudes con valores incorrectos de Content-Length, solo reenv\u00eda un valor del encabezado 'Transfer-Encoding: chunked' y agrega en las solicitudes con el encabezado 'Upgrade:' el encabezado adicional 'Connection: close', que impide el env\u00edo de solicitudes adicionales en la misma conexi\u00f3n. <\/p>\n

La tercera vulnerabilidad CVE-2026-2836 (nivel de gravedad 8.4 de 10) causa un envenenamiento de cach\u00e9 (cache poisoning) debido a la generaci\u00f3n de la clave de ubicaci\u00f3n de datos en cach\u00e9 (CacheKey) \u00fanicamente basada en la ruta del URI, ignorando el contenido del encabezado 'Host'. Esta falta de consideraci\u00f3n conduce a la formaci\u00f3n de claves de cach\u00e9 id\u00e9nticas para las mismas rutas HTTP en diferentes hosts. La vulnerabilidad puede ser utilizada para reemplazar el contenido de cach\u00e9 cuando se utiliza el modo de cach\u00e9 para m\u00faltiples hosts. En Pingora, la cach\u00e9 es una funci\u00f3n experimental, no recomendada para implementaciones en producci\u00f3n.
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e\u0431 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u0442\u0440\u0451\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 Pingora, \u0434\u0432\u0443\u043c \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (9.3 \u0438\u0437 10). \u0424\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a Pingora \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 Rust \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0441\u043e\u043a\u043e\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432. \u041f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Pingora \u043f\u0440\u043e\u043a\u0441\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u0435\u0442\u0438 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 Cloudflare \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 40 \u043c\u043b\u043d \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0443. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":163793,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-163792","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Vulnerabilidades en el proyecto Pingora que permiten interferir en solicitudes externas | ProHoster","description":"La empresa Cloudflare anunci\u00f3 la soluci\u00f3n de tres vulnerabilidades en el marco Pingora, dos de las cuales han sido clasificadas como de gravedad cr\u00edtica (9.3 de 10).","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0435 Pingora, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0432\u043a\u043b\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e\u0431 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u0442\u0440\u0451\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 Pingora, \u0434\u0432\u0443\u043c \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (9.3 \u0438\u0437 10).","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-03-10T21:11:59+00:00","article:modified_time":"2026-03-10T21:11:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/163792","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=163792"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/163792\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/163793"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=163792"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=163792"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=163792"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}